Adendo de Proteção de Dados Cibernéticos da Stellar

Este Adendo de Proteção de Dados, incluindo todos os seus anexos (“APD”), faz parte integrante do contrato, composto pelo Contrato de Usuário Final e o Pedido aplicável, entre a Stellar Cyber ​​Inc. (“Stellar Cyber”) e o Cliente (o “Contrato”). As Partes concordam que este APD estabelece suas obrigações com relação ao processamento e à segurança dos Dados do Cliente em conexão com o uso dos Entregáveis ​​pelo Cliente.

1. VISÃO GERAL

Este DPA aplica-se apenas ao processamento de Dados do Cliente em ambientes controlados pela Stellar Cyber ​​(incluindo Subprocessadores da Stellar Cyber), o que inclui os Dados do Cliente enviados à Stellar Cyber ​​pelos Entregáveis, mas não inclui dados que permaneçam nas instalações do Cliente ou em quaisquer ambientes operacionais de terceiros selecionados pelo Cliente. Este DPA entrará em vigor na Data de Vigência do Contrato e substituirá quaisquer termos anteriormente aplicáveis ​​ao processamento e à segurança dos Dados do Cliente. Os termos em maiúsculas utilizados, mas não definidos neste DPA, têm o significado que lhes é atribuído no Contrato.

2. DEFINIÇÕES

2.1. “Legislação de Proteção de Dados Aplicável” significa , conforme aplicável ao processamento dos Dados do Cliente (incluindo quaisquer dados pessoais neles contidos), qualquer lei ou regulamento nacional, federal, da União Europeia, estadual, provincial ou outro, relativo à privacidade, proteção de dados ou segurança de dados.

2.2. “Dados do Cliente” significa , para os fins deste DPA e independentemente de qualquer definição de “Dados do Cliente” no Contrato, dados ingeridos dos endpoints do Cliente ou fornecidos de outra forma pelo Cliente ou em seu nome à Stellar Cyber ​​por meio do uso dos Entregáveis ​​pelo Cliente, excluindo Dados do Sistema.

2.3. “Dados Pessoais do Cliente” significa os dados pessoais contidos nos Dados do Cliente, incluindo quaisquer categorias especiais de dados pessoais ou dados sensíveis definidos pela legislação de proteção de dados aplicável.

2.4. “RGPD da UE” significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE.

2.5. “Violação de segurança” significa uma violação da segurança da Stellar Cyber ​​que leva à destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilegal aos Dados do Cliente.

2.6. “Subprocessador” significa um terceiro autorizado como outro processador nos termos deste DPA para processar os Dados do Cliente a fim de fornecer os Entregáveis.

2.7 “Dados do Sistema” significa dados técnicos, operacionais, de diagnóstico, de utilização, de telemetria, de desempenho, de configuração, de inteligência de ameaças e dados semelhantes gerados por ou relacionados com a operação, o desempenho, a segurança ou a utilização dos Entregáveis, mas excluindo os Dados Pessoais do Cliente.

2.8. Os termos “dados pessoais”, “titular dos dados”, “controlador” e “processador”, conforme utilizados neste DPA, têm os significados atribuídos pela legislação de proteção de dados aplicável ou, na ausência de tal significado ou legislação, pelo RGPD da UE.

3. CONFORMIDADE LEGAL E TERMOS ESPECÍFICOS DA JURISDIÇÃO

3.1. Funções das Partes. A Stellar Cyber ​​atua como processadora e o Cliente atua como controlador ou processador, conforme o caso, dos Dados do Cliente.

3.2. Conformidade com a Lei. Cada Parte cumprirá suas obrigações relacionadas ao processamento de Dados do Cliente de acordo com a legislação de proteção de dados aplicável.

3.3. Cláusulas Específicas da Jurisdição. Na medida em que o processamento dos Dados do Cliente esteja sujeito a uma Lei de Proteção de Dados Aplicável descrita no Anexo 3 (Leis de Proteção de Dados Específicas da Jurisdição), as cláusulas correspondentes do Anexo 3 também serão aplicáveis. Em caso de conflito entre as cláusulas gerais deste DPA e o Anexo 3, o Anexo 3 prevalecerá.

4. PROCESSAMENTO DE DADOS DO CLIENTE

4.1. Resumo do Processamento. O objeto e os detalhes do processamento dos Dados do Cliente são descritos no Apêndice 1 (Detalhes do Processamento dos Dados do Cliente).

4.2. Obrigações da Stellar Cyber. A Stellar Cyber ​​deverá: (a) não processar os Dados do Cliente para outros fins que não sejam o fornecimento dos Entregáveis ​​de acordo com o Contrato (incluindo conforme estabelecido neste DPA e descrito no Anexo 1 deste DPA) e a legislação aplicável (a “Finalidade Permitida”); e (b) notificar imediatamente o Cliente caso, na opinião da Stellar Cyber, a legislação de proteção de dados aplicável a impeça de cumprir a Finalidade Permitida ou caso a Stellar Cyber ​​esteja impossibilitada de cumprir a Finalidade Permitida.

4.3. Instruções e Obrigações do Cliente. O Cliente, por meio deste instrumento: (a) instrui a Stellar Cyber ​​a processar os Dados do Cliente para a Finalidade Permitida; (b) garante e declara que está e permanecerá, em todos os momentos relevantes, devidamente autorizado a dar as instruções aqui estabelecidas em nome de cada controlador relevante dos Dados do Cliente; e (c) garante e declara que o controlador relevante dos Dados do Cliente forneceu todos os avisos e obteve todos os consentimentos exigidos pela Legislação de Proteção de Dados Aplicável para fornecer os Dados do Cliente à Stellar Cyber ​​nos termos do Contrato.

5. SEGURANÇA

5.1. Medidas de Segurança. A Stellar Cyber ​​implementará e manterá as medidas técnicas e organizacionais estabelecidas no Anexo 2 (Medidas de Segurança) (as “Medidas de Segurança”). A Stellar Cyber ​​poderá atualizar as Medidas de Segurança periodicamente, desde que tais atualizações não resultem em redução da segurança dos Entregáveis ​​ou das obrigações da Stellar Cyber ​​nos termos do Contrato.

5.2. Responsabilidades de Segurança do Cliente. Sem prejuízo das obrigações da Stellar Cyber ​​nos termos da Seção 5.1 (Medidas de Segurança) e em outras disposições do Contrato, o Cliente é responsável pelo uso dos Entregáveis, incluindo: (a) usar os Entregáveis ​​para garantir um nível de segurança adequado ao risco para os Dados do Cliente; (b) proteger as credenciais de autenticação, os sistemas e os dispositivos que o Cliente utiliza para acessar os Entregáveis; e (c) fazer backup de seus Dados do Cliente conforme apropriado.

5.3. Avaliação de Segurança do Cliente. O Cliente concorda que os Entregáveis ​​e as Medidas de Segurança implementadas e mantidas pela Stellar Cyber ​​fornecem um nível de segurança adequado ao risco para os Dados do Cliente.

5.4. Confidencialidade. A Stellar Cyber ​​garantirá que seu pessoal envolvido no processamento de Dados do Cliente (a) processará tais dados somente mediante instruções do Cliente ou conforme descrito neste DPA, e (b) estará obrigado a manter a confidencialidade e a segurança de tais dados mesmo após o término de seu vínculo. A Stellar Cyber ​​fornecerá treinamento periódico e obrigatório sobre privacidade e segurança de dados a seus funcionários, em conformidade com a legislação de proteção de dados aplicável e os padrões do setor.

5.5. Violações de segurança.

5.5.1. Notificação. A Stellar Cyber ​​notificará o Cliente imediatamente e, em qualquer caso, dentro de 72 horas após tomar conhecimento de uma Violação de Segurança, e tomará prontamente medidas razoáveis ​​para minimizar os danos e proteger os Dados do Cliente.

5.5.2. Detalhes da Notificação. A notificação de Violação de Segurança da Stellar Cyber ​​descreverá: (a) a natureza da Violação de Segurança, incluindo os recursos do Cliente afetados; (b) as medidas que a Stellar Cyber ​​tomou, ou planeja tomar, para lidar com a Violação de Segurança e mitigar seu risco potencial; (c) as medidas, se houver, que a Stellar Cyber ​​recomenda que o Cliente tome para lidar com a Violação de Segurança; e (d) os detalhes de um ponto de contato onde mais informações podem ser obtidas. Se não for possível fornecer todas essas informações ao mesmo tempo, a notificação inicial da Stellar Cyber ​​conterá as informações disponíveis naquele momento e informações adicionais serão fornecidas sem demora indevida assim que estiverem disponíveis.

5.5.3. Ausência de Reconhecimento de Culpa ou Responsabilidade. A notificação ou resposta da Stellar Cyber ​​a uma Violação de Segurança, nos termos desta Seção, não será interpretada como um reconhecimento, por parte da Stellar Cyber, de qualquer culpa ou responsabilidade em relação à Violação de Segurança.

6. SUBPROCESSAMENTO

6.1. Consentimento Específico. O Cliente autoriza especificamente a Stellar Cyber ​​a contratar como Subprocessadores as entidades listadas na Seção 6.2 (Detalhes do Subprocessador) na data de vigência deste DPA. Além disso, e sem prejuízo da Seção 6.3 (Contratação de Novos Subprocessadores), o Cliente autoriza, de forma geral, a contratação como Subprocessadores de quaisquer outras terceiras partes (cada uma denominada “Novo Subprocessador”), em conformidade com a Seção 6.3.

6.2. Detalhes dos Subprocessadores. As informações sobre os Subprocessadores, incluindo suas funções e localizações, estão descritas no Anexo 6.3 (a “Lista de Subprocessadores”), cuja versão atual é mantida em https://stellarcyber.ai/dpa/subprocessors (e pode ser atualizada pela Stellar Cyber ​​periodicamente, de acordo com este DPA).

6.3. Contratação de Novos Subprocessadores. Quando qualquer Novo Subprocessador for contratado durante a vigência deste DPA, a Stellar Cyber ​​deverá notificar o Cliente por escrito com pelo menos trinta (30) dias de antecedência, incluindo detalhes sobre o processamento a ser realizado pelo Novo Subprocessador. A Stellar Cyber ​​poderá fornecer tal notificação atualizando a Lista de Subprocessadores e disponibilizando a notificação por meio de um mecanismo pelo qual o Cliente poderá se inscrever para receber notificações de tais atualizações, caso em que o prazo de trinta (30) dias começará a contar a partir da data em que a atualização for publicada e a notificação for disponibilizada. Se, dentro de trinta (30) dias do recebimento dessa notificação, o Cliente notificar a Stellar Cyber ​​por escrito sobre quaisquer objeções à nomeação proposta e, além disso, fornecer justificativas comercialmente razoáveis ​​para tais objeções com base na incapacidade do Novo Subprocessador de proteger adequadamente os Dados do Cliente, então: (a) a Stellar Cyber ​​deverá trabalhar com o Cliente de boa-fé para abordar as objeções do Cliente em relação ao Novo Subprocessador; e (b) quando as preocupações do Cliente não puderem ser resolvidas dentro de trinta (30) dias a partir do recebimento da notificação do Cliente pela Stellar Cyber, não obstante qualquer disposição do Contrato, o Cliente poderá, mediante notificação por escrito à Stellar Cyber ​​com efeito imediato, rescindir o(s) Pedido(s) apenas em relação aos aspectos que não podem ser fornecidos pela Stellar Cyber ​​sem o uso do Novo Subprocessador.

6.4. Requisitos de Due Diligence do Subprocessador. Com relação a cada Subprocessador, a Stellar Cyber ​​deverá: (a) antes que o Subprocessador processe os Dados do Cliente pela primeira vez, realizar a devida diligência adequada para garantir que o Subprocessador seja capaz de cumprir as obrigações subcontratadas a ele de acordo com o Contrato (incluindo este DPA); (b) reavaliar periodicamente o Subprocessador para garantir que ele continue capaz de cumprir as obrigações subcontratadas a ele de acordo com o Contrato (incluindo este DPA); (c) garantir que o processamento dos Dados do Cliente pelo Subprocessador seja regido por um contrato escrito que inclua termos que ofereçam proteção aos Dados do Cliente no mínimo igual à estabelecida neste DPA, incluindo a imposição das obrigações de proteção de dados aplicáveis ​​neste DPA ao Subprocessador; e (d) permanecer totalmente responsável por todas as obrigações subcontratadas ao Subprocessador e por todos os seus atos e omissões.

7. COOPERAÇÃO

7.1. Direitos Individuais. Considerando a natureza do processamento, a Stellar Cyber ​​auxiliará o Cliente, implementando medidas técnicas e organizacionais adequadas, na medida do possível, para o cumprimento das obrigações do Cliente, conforme razoavelmente entendido por este, de responder às solicitações para o exercício dos direitos dos indivíduos nos termos da legislação de proteção de dados aplicável.

7.2. Solicitações Individuais. A Stellar Cyber ​​deverá: (a) notificar imediatamente o Cliente caso receba uma solicitação de um indivíduo, nos termos da legislação de proteção de dados aplicável, com relação aos Dados do Cliente, na medida em que a Stellar Cyber ​​reconheça a solicitação como sendo referente ao Cliente; e (b) garantir que a Stellar Cyber ​​não responda a essa solicitação, exceto mediante instruções documentadas do Cliente ou conforme exigido pela legislação aplicável, caso em que a Stellar Cyber ​​deverá, na medida permitida pela legislação aplicável, informar o Cliente sobre essa exigência legal antes de responder à solicitação.

7.3. Avaliações de Impacto e Consultas. Na medida em que a Stellar Cyber ​​seja obrigada pela legislação de proteção de dados aplicável, a Stellar Cyber ​​deverá (levando em consideração a natureza do processamento e as informações disponíveis para a Stellar Cyber) fornecer assistência razoável ao Cliente em quaisquer avaliações de impacto ou consultas com as autoridades de proteção de dados, fornecendo informações de acordo com a Seção 7.4 (Auditorias e Registros).

7.4. Auditorias e Registros. A Stellar Cyber ​​disponibilizará ao Cliente, mediante solicitação, as informações necessárias para demonstrar a conformidade com a legislação de proteção de dados aplicável e com este DPA, de acordo com os seguintes procedimentos: (a) a Stellar Cyber ​​fornecerá ao Cliente as certificações e/ou relatórios de auditoria resumidos mais recentes que a Stellar Cyber ​​tenha obtido para testar, avaliar e analisar regularmente a eficácia das Medidas de Segurança; (b) a Stellar Cyber ​​cooperará de forma razoável com o Cliente, fornecendo informações adicionais disponíveis sobre as Medidas de Segurança para ajudar o Cliente a compreendê-las melhor; e (c) caso o Cliente necessite de informações adicionais para cumprir suas próprias obrigações de auditoria ou as de outros controladores, ou para atender a uma solicitação de uma autoridade supervisora ​​competente, o Cliente informará a Stellar Cyber ​​e as Partes discutirão de boa-fé o conteúdo e o fornecimento das informações solicitadas.

8. LOCAIS DE PROCESSAMENTO DE DADOS

8.1. Local de Hospedagem de Dados. A Stellar Cyber ​​hospedará os Dados do Cliente em repouso apenas nas regiões oferecidas pela Stellar Cyber ​​e selecionadas pelo Cliente em um Pedido ou conforme configurado pelo Cliente por meio dos Entregáveis ​​(o “Local de Hospedagem”).

8.2. Local de Processamento de Dados. Levando em consideração as salvaguardas estabelecidas neste DPA, os Dados do Cliente podem ser processados ​​nos Estados Unidos ou em qualquer outro país onde a Stellar Cyber ​​ou seus Subprocessadores operem.

9. EXCLUSÃO DE DADOS

9.1. Exclusão após o término. A Stellar Cyber ​​deverá, imediatamente e em qualquer caso dentro de noventa (90) dias da data de cessação do fornecimento de quaisquer Entregáveis ​​envolvendo o processamento de Dados do Cliente (a “Data de Cessação”), excluir todas as cópias dos Dados do Cliente, a menos que a lei aplicável exija o armazenamento.

9.2. Certificação de Exclusão. A Stellar Cyber ​​deverá fornecer ao Cliente uma certificação por escrito de que cumpriu esta Seção dentro de dez (10) dias após o recebimento da solicitação por escrito do Cliente para receber tal certificação.

10. CONDIÇÕES GERAIS

10.1. Interpretação. No que diz respeito ao objeto deste DPA, em caso de inconsistências entre as disposições deste DPA e quaisquer outros acordos entre as Partes, incluindo o Acordo e incluindo (exceto quando expressamente acordado de outra forma por escrito, assinado em nome das Partes) acordos celebrados ou supostamente celebrados após a data deste DPA, prevalecerão as disposições deste DPA.

10.2. Responsabilidade. Qualquer responsabilidade associada ao descumprimento deste DPA estará sujeita às limitações de responsabilidade previstas no Contrato.

10.3. Disposições Inválidas ou Inexequíveis. Caso alguma disposição deste DPA seja considerada inválida ou inexequível, as demais disposições permanecerão válidas e em vigor. A disposição inválida ou inexequível deverá ser (a) alterada conforme necessário para garantir sua validade e exequibilidade, preservando ao máximo as intenções das Partes, ou, caso isso não seja possível, (b) interpretada como se a parte inválida ou inexequível nunca tivesse sido incluída no presente documento.

Em testemunho do que precede, as Partes aqui presentes fizeram com que este Adendo de Proteção de Dados da Stellar Cyber ​​fosse assinado por seus representantes ou funcionários devidamente autorizados na Data de Vigência do Contrato.

APÊNDICE 1:

DETALHES DO PROCESSAMENTO DE DADOS DO CLIENTE

Assunto e duração do processamento

A Stellar Cyber ​​processará os Dados do Cliente, incluindo quaisquer dados pessoais neles contidos, exclusivamente para fornecer os Entregáveis ​​de acordo com o Contrato, incluindo quaisquer períodos de retenção adquiridos pelo Cliente para Entregáveis ​​específicos. A duração do processamento será até a expiração ou rescisão do Contrato, após o que a Stellar Cyber ​​excluirá os Dados do Cliente de acordo com a Seção 9 (Exclusão de Dados).

Natureza e finalidade do processamento

A Stellar Cyber ​​processará os Dados do Cliente apenas para a Finalidade Permitida.

Categorias de dados

A natureza específica dos Dados do Cliente processados ​​pela Stellar Cyber ​​depende dos Serviços que o Cliente adquire, mas, de forma geral, relaciona-se às seguintes categorias de dados:

• Quaisquer dados de registro e dados não estruturados de aplicativos extraídos por meio de APIs fornecidas à Stellar Cyber ​​pelo Cliente para a execução das entregas.
• Dados de endpoint e de registro de endpoint (por exemplo, nome do dispositivo, informações do sistema operacional, nome de usuário, endereço IP, nome dos processos, nome dos aplicativos, registros e eventos).
• Dados de rede e de utilização da rede (por exemplo, tuplas de 5 elementos em pacotes IP, incluindo endereços IP, URLs, informações de certificado, nome de usuário, endereço de e-mail e tamanho do pacote).
• Dados do arquivo (ex.: nome do arquivo, hash do arquivo, tipo do arquivo, tamanho do arquivo)
• Dados do usuário (ex: nome de usuário, endereço de e-mail)

Categorias especiais de dados

Os Entregáveis ​​não se destinam ao processamento de categorias especiais de dados pessoais, e tais categorias não são necessárias para a entrega dos Entregáveis ​​ao Cliente. Não obstante o exposto, quando o Cliente controla os dados enviados à Stellar Cyber, ou em serviços específicos (por exemplo, investigações forenses que exigem análise dos dados subjacentes), a Stellar Cyber ​​poderá processar categorias especiais de dados pessoais em nome do Cliente. A natureza e o escopo de quaisquer categorias especiais de dados pessoais sensíveis transferidos podem não ser conhecidos até que o processamento tenha ocorrido, mas podem incluir dados pessoais que revelem origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa natural.

Titulares dos dados

Os titulares dos dados incluem os indivíduos sobre os quais os dados são fornecidos à Stellar Cyber ​​por meio dos Entregáveis ​​pelo Cliente (ou sob sua direção), e podem incluir funcionários, agentes, assessores, contratados e consultores do Cliente; pessoas de contato, clientes, potenciais clientes e parceiros comerciais dos parceiros de canal e fornecedores do Cliente; e quaisquer outros usuários autorizados dos endpoints do Cliente nos quais os Entregáveis ​​estão instalados ou dos Entregáveis.

A Stellar Cyber ​​mantém um programa de segurança da informação projetado para proteger a confidencialidade, a integridade e a disponibilidade dos Dados do Cliente (o “Programa de Segurança da Informação da Stellar Cyber”). O Programa de Segurança da Informação da Stellar Cyber ​​é implementado em toda a organização e visa garantir a conformidade da Stellar Cyber ​​com a legislação de proteção de dados aplicável. A partir da Data de Vigência, a Stellar Cyber ​​implementará e manterá as Medidas de Segurança descritas neste Anexo 2, que incluem, entre outras, as seguintes medidas para garantir a confidencialidade, a integridade e a disponibilidade contínuas dos dados e para impedir o acesso, o uso, a modificação ou a divulgação não autorizados dos dados:

Os termos de cada módulo deste Apêndice 3 aplicam-se apenas onde a legislação correspondente se aplica ao processamento de Dados do Cliente.

MÓDULO 1: LEI EUROPEIA DE PROTEÇÃO DE DADOS

1. DEFINIÇÕES ADICIONAIS

1.1. “País Adequado” significa : (a) para dados processados ​​sujeitos ao RGPD da UE: qualquer país dentro do EEE, ou um país ou território que seja objeto de uma decisão de adequação da Comissão Europeia ao abrigo do artigo 45.º, n.º 1, do RGPD da UE; (b) para dados processados ​​sujeitos ao RGPD do Reino Unido: o Reino Unido ou um país ou território que seja objeto de regulamentos de adequação ao abrigo do artigo 45.º, n.º 1, do RGPD do Reino Unido e da secção 17A da Lei de Proteção de Dados de 2018; e/ou (c) para dados processados ​​sujeitos à FDPA suíça: a Suíça ou um país ou território que (i) esteja incluído na lista de Estados cuja legislação assegura um nível adequado de proteção, publicada pelo Comissário Federal Suíço para a Proteção de Dados e Informação, ou (ii) seja objeto de uma decisão de adequação do Conselho Federal Suíço ao abrigo da FDPA suíça.

1.2. “Mecanismo Alternativo de Transferência” significa um mecanismo, diferente das Cláusulas Contratuais Padrão (SCCs), que permite a transferência lícita de dados pessoais para um país terceiro em conformidade com a legislação europeia de proteção de dados (por exemplo, o Quadro de Privacidade de Dados UE-EUA, incluindo a extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA e o Quadro de Privacidade de Dados Suíça-EUA, ou qualquer outro quadro reconhecido como garantia de que as entidades participantes forneçam um nível adequado de proteção).

1.3. “Lei Europeia de Proteção de Dados” significa , conforme aplicável: (a) o RGPD da UE; (b) o RGPD do Reino Unido; ou (c) a FDPA suíça.

1.4. “Legislação Europeia” significa , conforme aplicável: (a) a legislação da UE ou de um Estado-membro da UE (se o RGPD da UE se aplicar ao tratamento dos Dados do Cliente); (b) a legislação do Reino Unido ou de uma parte do Reino Unido (se o RGPD do Reino Unido se aplicar ao tratamento dos Dados do Cliente); ou (c) a legislação da Suíça (se a FDPA suíça se aplicar ao tratamento dos Dados do Cliente).

1.5. “Transferência Restrita” significa a transferência ou o processamento de Dados Pessoais do Cliente para ou em um país que não seja um País Adequado.

1.6. “SCCs” significa os SCCs (Controlador-para-Processador) ou os SCCs (Processador-para-Processador), conforme aplicável.

1.7. “SCCs (Controlador para Processador)” significa as Cláusulas Contratuais Padrão da UE que operam sob o Módulo Dois (controlador para processador), conforme estabelecido no Apêndice 4 deste DPA.

1.8. “SCCs (Processador para Processador)” significa as Cláusulas Contratuais Padrão da UE que operam sob o Módulo Três (processador para processador), conforme estabelecido no Apêndice 4 deste DPA.

1.9. “Lei Federal Suíça de Proteção de Dados” significa a Lei Federal Suíça de Proteção de Dados revisada de 25 de setembro de 2020 (Suíça), conforme alterada ou substituída.

1.10. “RGPD do Reino Unido” significa o RGPD da UE, conforme alterado e incorporado à legislação do Reino Unido pela Lei de Retirada da União Europeia do Reino Unido de 2018, e a legislação secundária aplicável promulgada ao abrigo da mesma.

1.11. “UK IDTA” significa o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia, emitido pelo Comissário de Informação do Reino Unido, conforme estabelecido no Apêndice 5 deste DPA.

2. NOTIFICAÇÃO DE CONFORMIDADE

Sem prejuízo das obrigações da Stellar Cyber ​​nos termos da Seção 4.3 (Instruções e Obrigações do Cliente) do DPA ou de quaisquer outros direitos ou obrigações de qualquer das Partes nos termos do Contrato, a Stellar Cyber ​​notificará imediatamente o Cliente se, e na medida em que tal notificação não seja proibida pela legislação europeia, na opinião da Stellar Cyber: (a) a legislação europeia proibir a Stellar Cyber ​​de cumprir uma instrução; (b) uma instrução não estiver em conformidade com a legislação europeia de proteção de dados; ou (c) a Stellar Cyber ​​estiver impossibilitada de cumprir uma instrução. Se o Cliente for um processador de dados, o Cliente encaminhará imediatamente ao controlador relevante qualquer notificação fornecida pela Stellar Cyber ​​nos termos desta Seção.

3. TRANSFERÊNCIAS DE DADOS

3.1. Transferências Restritas; Mecanismo Principal. Quando o processamento de Dados Pessoais do Cliente constituir uma Transferência Restrita, a Stellar Cyber ​​utilizará, em primeira instância, um Mecanismo de Transferência Alternativo para fundamentar legalmente essa Transferência Restrita, desde que tal mecanismo tenha sido adotado pela Stellar Cyber ​​e esteja disponível e seja válido para essa Transferência Restrita. A Stellar Cyber ​​fornecerá, mediante solicitação, ao Cliente informações sobre o Mecanismo de Transferência Alternativo utilizado.

3.2. Cláusulas Contratuais Padrão como Recurso Adicional. Se e na medida em que nenhum Mecanismo de Transferência Alternativo estiver disponível, adotado ou válido para uma Transferência Restrita — incluindo nos casos em que um Mecanismo de Transferência Alternativo no qual a Stellar Cyber ​​se baseou seja invalidado, suspenso ou deixe de fornecer uma base legal para a Transferência Restrita — as Cláusulas Contratuais Padrão serão aplicáveis ​​(conforme o Cliente ser um controlador e/ou um processador) em relação a tal Transferência Restrita entre a Stellar Cyber ​​e o Cliente. Quando o GDPR do Reino Unido se aplicar a uma Transferência Restrita, as Cláusulas Contratuais Padrão serão complementadas e alteradas pela Lei de Proteção de Dados Pessoais do Reino Unido (IDTA) estabelecida no Apêndice 5. Quando a Lei Federal Suíça de Proteção de Dados Pessoais (FDPA) se aplicar a uma Transferência Restrita, as Cláusulas Contratuais Padrão serão complementadas pelas alterações suíças estabelecidas no final do Apêndice 4.

3.3. Informações sobre Transferências Restritas. A Stellar Cyber ​​fornecerá ao Cliente informações relevantes para uma Transferência Restrita, conforme descrito na Seção 7.4 (Auditorias e Registros) do DPA.

3.4. Auditoria das Cláusulas Contratuais Padrão (SCCs). Se as SCCs se aplicarem conforme descrito na Seção 3.2 deste Módulo 1, a Stellar Cyber ​​permitirá que o Cliente, ou um auditor independente nomeado pelo Cliente, realize auditorias conforme descrito nessas SCCs e, durante uma auditoria, disponibilize todas as informações exigidas por essas SCCs, em conformidade com a Seção 7.4 (Auditorias e Registros) do DPA.

3.5. Não Modificação das Cláusulas Contratuais Padrão. Nenhuma disposição do Acordo (incluindo este Anexo 3) tem a intenção de modificar ou contradizer quaisquer Cláusulas Contratuais Padrão ou prejudicar os direitos e liberdades fundamentais dos titulares dos dados, conforme previsto na legislação europeia de proteção de dados.

3.6. Precedência das Cláusulas Contratuais Padrão. Na medida em que as Cláusulas Contratuais Padrão se apliquem e haja qualquer conflito ou inconsistência entre quaisquer Cláusulas Contratuais Padrão e o restante do Acordo, incluindo este Anexo, as Cláusulas Contratuais Padrão prevalecerão.

MÓDULO 2: LEIS DE PROTEÇÃO DE DADOS DOS ESTADOS UNIDOS

1. DEFINIÇÕES ADICIONAIS

1.1. “CCPA” significa a Lei de Privacidade do Consumidor da Califórnia de 2018, conforme alterada, incluindo as alterações introduzidas pela Lei de Direitos de Privacidade da Califórnia de 2020, juntamente com todos os regulamentos de implementação.

1.2. “CPA” significa a Lei de Privacidade do Colorado, Colo. Rev. Stat. §§ 6-1-1301 et seq., e todos os regulamentos de implementação.

1.3. “CTDPA” significa a Lei de Privacidade de Dados de Connecticut e todos os regulamentos de implementação.

1.4. “UCPA” significa a Lei de Privacidade do Consumidor de Utah, Utah Code Ann. §§ 13-61-101 et seq., e todos os regulamentos de implementação.

1.5. “VCDPA” significa a Lei de Proteção de Dados do Consumidor da Virgínia, Va. Code Ann. §§ 59.1-575 et seq., e todos os regulamentos de implementação.

1.6. “Lei de Proteção de Dados dos EUA” significa , conforme aplicável, a CCPA, a CPA, a CTDPA, a UCPA, a VCDPA e todas as outras leis e regulamentos relacionados à proteção de dados, ao processamento de dados pessoais, à privacidade e/ou às comunicações eletrônicas em vigor de tempos em tempos nos Estados Unidos.

2. PROIBIÇÕES

Sem prejuízo das obrigações da Stellar Cyber ​​nos termos da Seção 4.3 (Instruções e Obrigações do Cliente) do DPA, com relação ao processamento dos Dados do Cliente de acordo com a CCPA, a Stellar Cyber ​​não irá, salvo se permitido de outra forma pela legislação de proteção de dados dos EUA: (a) vender ou compartilhar os Dados do Cliente; (b) reter, usar ou divulgar os Dados do Cliente para qualquer finalidade que não seja aquela especificada no Contrato e no DPA; (c) reter, usar ou divulgar os Dados do Cliente para qualquer finalidade comercial que não seja a finalidade comercial especificada no Contrato e no DPA, incluindo a prestação de serviços a uma empresa diferente; (d) reter, usar ou divulgar os Dados do Cliente fora da relação comercial direta entre a Stellar Cyber ​​e o Cliente; ou (e) combinar ou atualizar os Dados do Cliente com quaisquer outras informações pessoais que a Stellar Cyber ​​receba de terceiros ou em nome de terceiros, ou que colete em suas próprias interações com o consumidor. A Stellar Cyber ​​certifica que compreende as restrições desta Seção 2 e que as cumprirá.

3. NOTIFICAÇÃO DE CONFORMIDADE

Sem prejuízo das obrigações da Stellar Cyber ​​nos termos da Seção 4.3 (Instruções e Obrigações do Cliente) do DPA, ou de quaisquer outros direitos ou obrigações de qualquer das Partes nos termos do Contrato, a Stellar Cyber ​​notificará o Cliente se, na opinião da Stellar Cyber, a Stellar Cyber ​​não puder cumprir suas obrigações nos termos da Lei de Proteção de Dados dos EUA, a menos que tal notificação seja proibida pela legislação aplicável.

4. DADOS DESIDENTIFICADOS

Caso os Dados do Cliente contenham dados anonimizados, a Stellar Cyber ​​(a) tomará medidas razoáveis ​​para garantir que as informações não possam ser associadas a um consumidor; (b) se comprometerá publicamente a processar dados anonimizados exclusivamente de forma anonimizada e não tentará reidentificar as informações; e (c) obrigará contratualmente quaisquer destinatários de dados anonimizados a cumprir os requisitos acima e a Lei de Proteção de Dados dos EUA.

5. REPARAÇÃO DO CLIENTE

A Stellar Cyber ​​concede ao Cliente o direito, mediante notificação razoável, de tomar medidas razoáveis ​​e apropriadas para interromper e remediar qualquer uso não autorizado dos Dados do Cliente.

As Partes concordam que as cláusulas contratuais padrão anexas à Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021 (as “Cláusulas Contratuais Padrão da UE Aprovadas”) são incorporadas integralmente a este DPA por esta referência, com: o Módulo Dois (controlador para processador) aplicando-se quando o Cliente for o controlador dos Dados Pessoais do Cliente e o Módulo Três (processador para processador) aplicando-se quando o Cliente for o processador dos Dados Pessoais do Cliente; a cláusula de ancoragem opcional na Cláusula 7 incluída; na Cláusula 9(a), a Opção 2 (autorização geral por escrito) selecionada com um prazo mínimo de aviso prévio de trinta (30) dias; o idioma opcional na Cláusula 11(a) não incluído; na Cláusula 17, a lei dos Países Baixos selecionada; na Cláusula 18(b), os tribunais dos Países Baixos selecionados; e os Anexos considerados completos com as informações estabelecidas nos Anexos deste Apêndice 4. O texto apresentado abaixo é fornecido apenas para conveniência das Partes; Em caso de conflito ou inconsistência entre o texto apresentado abaixo e as Cláusulas Contratuais Padrão (SCCs) da UE aprovadas, conforme preenchidas de acordo com este parágrafo, prevalecerão as Cláusulas Contratuais Padrão (SCCs) da UE aprovadas.

SEÇÃO I

Cláusula 1

Finalidade e âmbito

O objetivo destas cláusulas contratuais padrão é garantir o cumprimento dos requisitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 sobre a proteção de pessoas singulares no que diz respeito ao tratamento de dados pessoais e sobre a livre circulação desses dados (Regulamento Geral de Proteção de Dados) para a transferência de dados pessoais para um país terceiro.

As Partes: (i) a(s) pessoa(s) física(s) ou jurídica(s), autoridade(s) pública(s), agência(s) ou outro(s) organismo(s) (“entidade(s)”) que transfere(m) os dados pessoais, conforme listado no Anexo IA (cada um “exportador de dados”), e (ii) a(s) entidade(s) em um país terceiro que recebe(m) os dados pessoais do exportador de dados, direta ou indiretamente por meio de outra entidade também Parte destas Cláusulas, conforme listado no Anexo IA (cada um “importador de dados”), concordaram com estas cláusulas contratuais padrão (“Cláusulas”).

Estas Cláusulas aplicam-se à transferência de dados pessoais conforme especificado no Anexo IB

O Apêndice a estas Cláusulas contendo os Anexos nelas referidos faz parte integrante destas Cláusulas.

Cláusula 2

Efeito e invariabilidade das Cláusulas

Estas Cláusulas estabelecem salvaguardas adequadas, incluindo direitos exigíveis dos titulares dos dados e recursos legais eficazes, nos termos do artigo 46.º, n.º 1, e do artigo 46.º, n.º 2, alínea c), do Regulamento (UE) 2016/679 e, no que respeita às transferências de dados de controladores para processadores e/ou de processadores para processadores, cláusulas contratuais-tipo nos termos do artigo 28.º, n.º 7, do Regulamento (UE) 2016/679, desde que não sejam modificadas, exceto para selecionar o(s) Módulo(s) apropriado(s) ou para adicionar ou atualizar informações no Anexo. Isto não impede as Partes de incluírem as cláusulas contratuais-tipo estabelecidas nestas Cláusulas num contrato mais abrangente e/ou de adicionarem outras cláusulas ou salvaguardas adicionais, desde que não contradigam, direta ou indiretamente, estas Cláusulas nem prejudiquem os direitos e liberdades fundamentais dos titulares dos dados.

Estas Cláusulas não prejudicam as obrigações a que o exportador de dados esteja sujeito por força do Regulamento (UE) 2016/679.

Cláusula 3

Beneficiários de terceiros

Os titulares dos dados podem invocar e fazer valer estas Cláusulas, como terceiros beneficiários, contra o exportador e/ou importador de dados, com as seguintes exceções: (i) Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7; (ii) Cláusula 8 — Módulo Um: Cláusula 8.5(e) e Cláusula 8.9(b); Módulo Dois: Cláusula 8.1(b), 8.9(a), (c), (d) e (e); Módulo Três: Cláusula 8.1(a), (c) e (d) e Cláusula 8.9(a), (c), (d), (e), (f) e (g); Módulo Quatro: Cláusula 8.1(b) e Cláusula 8.3(b); (iii) Cláusula 9 — Módulo Dois: Cláusula 9(a), (c), (d) e (e); Módulo Três: Cláusula 9(a), (c), (d) e (e); (iv) Cláusula 12 — Módulo Um: Cláusula 12(a) e (d); Módulos Dois e Três: Cláusula 12(a), (d) e (f); (v) Cláusula 13; (vi) Cláusula 15.1(c), (d) e (e); (vii) Cláusula 16(e); (viii) Cláusula 18 — Módulos Um, Dois e Três: Cláusula 18(a) e (b); Módulo Quatro: Cláusula 18.

A alínea a) não prejudica os direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2016/679.

Cláusula 4

Interpretação

Quando estas Cláusulas usarem termos definidos no Regulamento (UE) 2016/679, esses termos terão o mesmo significado que naquele Regulamento.

Estas Cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679.

Estas Cláusulas não devem ser interpretadas de forma conflitante com direitos e obrigações previstos no Regulamento (UE) 2016/679.

Cláusula 5

Hierarquia

Em caso de contradição entre estas Cláusulas e as disposições de acordos relacionados entre as Partes, existentes no momento em que essas Cláusulas forem acordadas ou celebradas posteriormente, estas Cláusulas prevalecerão.

Cláusula 6

Descrição da(s) transferência(s)

Os detalhes da(s) transferência(s) e, em particular, as categorias de dados pessoais que são transferidos e a(s) finalidade(s) para a qual são transferidos, são especificados no Anexo IB

Cláusula 7 — Opcional

Cláusula de encaixe

Uma entidade que não seja Parte destas Cláusulas pode, com o acordo das Partes, aderir a estas Cláusulas a qualquer momento, seja como exportadora de dados ou importadora de dados, preenchendo o Apêndice e assinando o Anexo IA

Uma vez preenchido o Apêndice e assinado o Anexo IA, a entidade aderente se tornará Parte destas Cláusulas e terá os direitos e obrigações de um exportador ou importador de dados de acordo com sua designação no Anexo IA

A entidade aderente não terá quaisquer direitos ou obrigações decorrentes destas Cláusulas desde o período anterior à sua adesão.

SEÇÃO II — OBRIGAÇÕES DAS PARTES

Cláusula 8

Proteção de dados

O exportador de dados garante que envidou esforços razoáveis ​​para determinar que o importador de dados é capaz, por meio da implementação de medidas técnicas e organizacionais apropriadas, de cumprir suas obrigações sob estas Cláusulas.

MÓDULO UM: Transferir controlador para controlador

8.1 Limitação de finalidade

O importador de dados deverá processar os dados pessoais apenas para a(s) finalidade(s) específica(s) da transferência, conforme estabelecido no Anexo IB. Ele poderá processar os dados pessoais para outra finalidade somente: (i) quando tiver obtido o consentimento prévio do titular dos dados; (ii) quando necessário para o estabelecimento, exercício ou defesa de direitos legais no contexto de processos administrativos, regulatórios ou judiciais específicos; ou (iii) quando necessário para proteger os interesses vitais do titular dos dados ou de outra pessoa física.

8.2 Transparência

Para permitir que os titulares dos dados exerçam efetivamente os seus direitos nos termos da Cláusula 10, o importador de dados deve informá-los, diretamente ou por intermédio do exportador de dados, sobre a sua identidade e dados de contacto; sobre as categorias de dados pessoais tratados; sobre o direito de obter uma cópia destas Cláusulas; e, caso pretenda transferir os dados pessoais para terceiros, sobre o destinatário ou categorias de destinatários, a finalidade dessa transferência e o respetivo fundamento, nos termos da Cláusula 8.7. Esta obrigação não se aplica quando o titular dos dados já dispuser da informação ou quando o seu fornecimento se revelar impossível ou implicar um esforço desproporcionado, caso em que o importador de dados deve, na medida do possível, tornar a informação pública. Mediante pedido, as Partes devem disponibilizar ao titular dos dados, gratuitamente, uma cópia destas Cláusulas, sujeita às devidas redações para proteger segredos comerciais ou outras informações confidenciais. Estes parágrafos não prejudicam as obrigações do exportador de dados nos termos dos artigos 13.º e 14.º do Regulamento (UE) 2016/679.

8.3 Precisão e minimização de dados

Cada Parte deverá assegurar que os dados pessoais sejam exatos e, quando necessário, mantidos atualizados, e deverá tomar todas as medidas razoáveis ​​para garantir que os dados inexatos sejam apagados ou retificados sem demora. Caso uma Parte tome conhecimento de que os dados pessoais que transferiu ou recebeu são inexatos ou desatualizados, deverá informar a outra Parte sem demora injustificada. O importador de dados deverá assegurar que os dados pessoais sejam adequados, pertinentes e limitados ao necessário em relação à(s) finalidade(s) do tratamento.

8.4 Limitação de armazenamento

O importador de dados deverá conservar os dados pessoais apenas durante o período necessário para a(s) finalidade(s) para as quais são tratados e deverá implementar medidas técnicas ou organizacionais adequadas para garantir o cumprimento desta obrigação, incluindo o apagamento ou anonimização dos dados e de todas as cópias de segurança no final do período de conservação.

8.5 Segurança do processamento

O importador de dados e, durante a transmissão, também o exportador de dados, devem implementar medidas técnicas e organizacionais adequadas para garantir a segurança dos dados pessoais, incluindo a proteção contra violações de dados pessoais, levando em consideração o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento, bem como os riscos envolvidos. As Partes concordaram com as medidas estabelecidas no Anexo II, e o importador de dados deve realizar verificações regulares para garantir que elas continuem a proporcionar um nível adequado de segurança. O importador de dados deve garantir que as pessoas autorizadas a tratar os dados pessoais estejam sujeitas à confidencialidade. Em caso de violação de dados pessoais, o importador de dados deve tomar as medidas adequadas para resolvê-la e, quando for provável que resulte em risco para os direitos e liberdades das pessoas singulares, deve notificar sem demora injustificada tanto o exportador de dados quanto a autoridade de supervisão competente, nos termos da Cláusula 13, com as informações exigidas pelas Cláusulas; quando for provável que resulte em alto risco, deve também notificar os titulares dos dados afetados, a menos que medidas atenuantes tenham sido aplicadas. O importador de dados deverá documentar todos os fatos relevantes relacionados à violação.

8.6 Dados sensíveis

Nos casos em que a transferência envolva dados sensíveis, o importador de dados deverá aplicar restrições específicas e/ou salvaguardas adicionais adaptadas à natureza específica dos dados e aos riscos envolvidos.

8.7 Transferências subsequentes

O importador de dados não deverá divulgar os dados pessoais a terceiros localizados fora da União Europeia, a menos que esses terceiros estejam ou concordem em estar vinculados a estas Cláusulas, ao abrigo do Módulo apropriado, ou a menos que se aplique uma das condições estabelecidas na Cláusula 8.7(i)–(vi) das Cláusulas Contratuais Padrão da UE aprovadas (incluindo a transferência para um país adequado, salvaguardas apropriadas ao abrigo dos Artigos 46.º ou 47.º, um instrumento vinculativo que assegure proteção equivalente, a necessidade para efeitos de ações judiciais, a proteção de interesses vitais ou o consentimento explícito do titular dos dados). Qualquer transferência subsequente está sujeita ao cumprimento, por parte do importador de dados, de todas as outras salvaguardas previstas nestas Cláusulas, em particular a limitação da finalidade.

8.8 Processamento sob a autoridade do importador de dados

O importador de dados deve garantir que qualquer pessoa agindo sob sua autoridade, incluindo um processador, processe os dados apenas sob suas instruções.

8.9 Documentação e conformidade

Cada Parte deverá ser capaz de demonstrar o cumprimento das suas obrigações ao abrigo destas Cláusulas. Em particular, o importador de dados deverá manter documentação adequada das atividades de tratamento realizadas sob a sua responsabilidade e deverá disponibilizar essa documentação à autoridade de controlo competente, mediante pedido.

MÓDULO DOIS: Transferir controlador para processador

8.1 Instruções

O importador de dados deverá processar os dados pessoais somente mediante instruções documentadas do exportador de dados. O exportador de dados poderá fornecer tais instruções durante toda a vigência do contrato. O importador de dados deverá informar imediatamente o exportador de dados caso não consiga seguir essas instruções.

8.2 Limitação de finalidade

O importador de dados deve processar os dados pessoais apenas para o(s) propósito(s) específico(s) da transferência, conforme estabelecido no Anexo IB, salvo instruções adicionais do exportador de dados.

8.3 Transparência

A pedido, o exportador de dados deverá disponibilizar ao titular dos dados, gratuitamente, uma cópia destas Cláusulas, incluindo o Anexo preenchido pelas Partes, sujeita às devidas redações. Esta Cláusula não prejudica as obrigações do exportador de dados nos termos dos artigos 13.º e 14.º do Regulamento (UE) 2016/679.

8.4 precisão

Caso o importador de dados tome conhecimento de que os dados pessoais recebidos são imprecisos ou estão desatualizados, deverá informar o exportador de dados sem demora injustificada. Nesse caso, o importador de dados deverá cooperar com o exportador de dados para apagar ou retificar os dados.

8.5 Duração do processamento e eliminação ou devolução dos dados

O processamento pelo importador de dados ocorrerá apenas durante o período especificado no Anexo IB. Após o término da prestação dos serviços de processamento, o importador de dados deverá, a critério do exportador de dados, excluir todos os dados pessoais processados ​​em nome do exportador de dados e certificar que o fez, ou devolver todos esses dados pessoais e excluir as cópias existentes. Até que os dados sejam excluídos ou devolvidos, o importador de dados deverá continuar a garantir a conformidade com estas Cláusulas. Nos casos em que as leis locais proíbam a devolução ou a exclusão, o importador de dados garante que continuará a garantir a conformidade e processará os dados apenas na medida e pelo tempo exigidos pela legislação local aplicável.

8.6 Segurança do processamento

O importador de dados e, durante a transmissão, também o exportador de dados, devem implementar medidas técnicas e organizacionais adequadas para garantir a segurança dos dados, levando em consideração o estado da técnica, os custos e a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento, bem como os riscos envolvidos. O importador de dados deve implementar, no mínimo, as medidas especificadas no Anexo II e realizar verificações regulares. Deve conceder acesso aos dados pessoais aos membros do seu pessoal apenas na medida estritamente necessária e garantir a confidencialidade dos mesmos. Em caso de violação de dados pessoais, o importador de dados deve tomar as medidas adequadas para a solucionar e notificar o exportador de dados sem demora injustificada, após tomar conhecimento da violação, fornecendo as informações exigidas pelas Cláusulas; caso nem todas as informações estejam disponíveis de imediato, estas podem ser fornecidas em fases, sem demora injustificada. O importador de dados deve cooperar com o exportador de dados e auxiliá-lo no cumprimento das suas obrigações nos termos do Regulamento (UE) 2016/679, em particular no que diz respeito à notificação da autoridade de controlo competente e dos titulares dos dados afetados.

8.7 Dados sensíveis

Quando a transferência envolver dados sensíveis, o importador de dados deverá aplicar as restrições específicas e/ou salvaguardas adicionais descritas no Anexo IB.

8.8 Transferências subsequentes

O importador de dados só poderá divulgar os dados pessoais a terceiros mediante instruções documentadas do exportador de dados. Além disso, os dados só poderão ser divulgados a terceiros localizados fora da União Europeia se esses terceiros estiverem ou concordarem em estar vinculados a estas Cláusulas, ao abrigo do Módulo apropriado, ou se uma das condições previstas na Cláusula 8.8(i)–(iv) se aplicar (adequação, salvaguardas apropriadas ao abrigo dos Artigos 46.º ou 47.º, necessidade para efeitos de ações judiciais ou proteção de interesses vitais). Qualquer transferência subsequente está sujeita ao cumprimento, por parte do importador de dados, de todas as outras salvaguardas previstas nestas Cláusulas, em particular a limitação da finalidade.

8.9 Documentação e conformidade

O importador de dados deverá responder de forma rápida e adequada às solicitações do exportador de dados relacionadas ao processamento nos termos destas Cláusulas. As Partes deverão ser capazes de demonstrar a conformidade com estas Cláusulas, e o importador de dados deverá manter a documentação apropriada. O importador de dados deverá disponibilizar ao exportador de dados todas as informações necessárias para demonstrar a conformidade e deverá permitir e contribuir para auditorias, em intervalos razoáveis ​​ou sempre que houver indícios de não conformidade; o exportador de dados poderá realizar a auditoria por conta própria ou contratar um auditor independente, podendo levar em consideração as certificações relevantes detidas pelo importador de dados. As Partes deverão disponibilizar os resultados da auditoria à autoridade supervisora ​​competente, mediante solicitação.

MÓDULO TRÊS: Transferir processador para processador

8.1 Instruções

O exportador de dados informou o importador de dados que atua como processador sob as instruções de seu(s) controlador(es), as quais o exportador de dados disponibilizará ao importador de dados antes do processamento. O importador de dados processará os dados pessoais somente mediante instruções documentadas do controlador, conforme comunicadas pelo exportador de dados, e quaisquer instruções adicionais documentadas do exportador de dados que não conflitem com as instruções do controlador. O importador de dados informará imediatamente o exportador de dados caso não consiga seguir essas instruções. O exportador de dados garante que impôs ao importador de dados as mesmas obrigações de proteção de dados estabelecidas no contrato ou outro ato jurídico entre o controlador e o exportador de dados.

8.2 Limitação de finalidade

O importador de dados deverá processar os dados pessoais apenas para a(s) finalidade(s) específica(s) da transferência, conforme estabelecido no Anexo IB, salvo instruções adicionais do controlador (comunicadas pelo exportador de dados) ou do próprio exportador de dados.

8.3 – 8.4 Transparência e precisão

Mediante solicitação, o exportador de dados deverá disponibilizar ao titular dos dados uma cópia destas Cláusulas gratuitamente, sujeita às devidas redações. Caso o importador de dados tome conhecimento de que os dados pessoais são inexatos ou desatualizados, deverá informar o exportador de dados sem demora injustificada e cooperar para retificar ou apagar os dados.

8.5 Duração do processamento e eliminação ou devolução dos dados

O processamento ocorrerá apenas durante o período especificado no Anexo IB. Após o término da prestação dos serviços de processamento, o importador de dados deverá, a critério do exportador de dados, excluir ou devolver todos os dados pessoais processados ​​em nome do controlador e excluir as cópias existentes, devendo continuar a garantir a conformidade com estas Cláusulas até que os dados sejam excluídos ou devolvidos. Nos casos em que a legislação local proíba a devolução ou a exclusão, o importador de dados garante que continuará a assegurar a conformidade e processará os dados apenas na medida e pelo tempo exigidos pela legislação local aplicável.

8.6 Segurança do processamento

As Partes implementarão medidas técnicas e organizacionais adequadas para garantir a segurança dos dados, levando em consideração o estado da técnica, os custos e a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento, bem como os riscos envolvidos. O importador de dados deverá implementar, no mínimo, as medidas previstas no Anexo II, conceder acesso ao pessoal apenas quando estritamente necessário, garantir a confidencialidade e, em caso de violação de dados pessoais, tomar as medidas adequadas e notificar o exportador de dados (e, quando apropriado e viável, o controlador) sem demora injustificada, fornecendo as informações exigidas pelas Cláusulas. O importador de dados deverá cooperar com o exportador de dados e auxiliá-lo para que o controlador possa notificar a autoridade supervisora ​​competente e os titulares dos dados afetados.

8.7 – 8.8 Dados sensíveis e transferências subsequentes

Quando a transferência envolver dados sensíveis, o importador de dados deverá aplicar as restrições específicas e/ou salvaguardas adicionais estabelecidas no Anexo IB. O importador de dados só poderá divulgar os dados pessoais a terceiros mediante instruções documentadas do responsável pelo tratamento, comunicadas pelo exportador de dados, e apenas a terceiros fora da União Europeia se estes estiverem ou concordarem em ficar vinculados por estas Cláusulas, ao abrigo do Módulo aplicável, ou se se verificar a adequação, as salvaguardas apropriadas nos termos dos Artigos 46.º ou 47.º, a necessidade para efeitos de reclamações legais ou a proteção de interesses vitais. Qualquer transferência subsequente está sujeita ao cumprimento de todas as outras salvaguardas previstas nestas Cláusulas, em particular a limitação da finalidade.

8.9 Documentação e conformidade

O importador de dados deverá responder prontamente e adequadamente às solicitações do exportador de dados ou do controlador, manter a documentação apropriada, disponibilizar ao exportador de dados (que, por sua vez, deverá fornecê-las ao controlador) todas as informações necessárias para demonstrar a conformidade, e permitir e contribuir para as auditorias realizadas pelo exportador de dados (inclusive sob instruções do controlador), em intervalos razoáveis ​​ou sempre que houver indícios de não conformidade. O exportador de dados poderá realizar a auditoria por conta própria ou contratar um auditor independente. As Partes deverão disponibilizar os resultados da auditoria à autoridade supervisora ​​competente, mediante solicitação.

MÓDULO QUATRO: Transfira o processador para o controlador

8.1 Instruções

O exportador de dados deverá processar os dados pessoais apenas mediante instruções documentadas do importador de dados, que atua como controlador, e deverá informar imediatamente o importador de dados caso não consiga seguir essas instruções, inclusive se estas infringirem o Regulamento (UE) 2016/679 ou outra legislação da União ou de um Estado-Membro em matéria de proteção de dados. O importador de dados deverá abster-se de qualquer ação que impeça o exportador de dados de cumprir as suas obrigações nos termos do Regulamento (UE) 2016/679. Após o término da prestação dos serviços de processamento, o exportador de dados deverá, a critério do importador de dados, apagar ou devolver todos os dados pessoais processados ​​em seu nome e eliminar as cópias existentes.

8.2 – 8.3 Segurança do processamento e confidencialidade

As Partes implementarão medidas técnicas e organizacionais adequadas para garantir a segurança dos dados, inclusive durante a transmissão. O exportador de dados auxiliará o importador de dados na garantia da segurança adequada e, em caso de violação de dados pessoais relativos aos dados que processa, notificará o importador de dados sem demora injustificada e auxiliará na sua resolução. O exportador de dados garantirá que as pessoas autorizadas a processar os dados pessoais estejam sujeitas à confidencialidade.

Cláusula 9

Uso de subprocessadores

MÓDULO DOIS e MÓDULO TRÊS

OPÇÃO 2: AUTORIZAÇÃO GERAL POR ESCRITO. O importador de dados possui a autorização geral do exportador de dados (Módulo Dois) ou do controlador (Módulo Três) para a contratação de subcontratados de uma lista acordada. O importador de dados deverá informar especificamente o exportador de dados (ou, no caso do Módulo Três, o controlador, e deverá informar o exportador de dados) por escrito sobre quaisquer alterações pretendidas nessa lista, por meio da inclusão ou substituição de subcontratados, com pelo menos trinta (30) dias de antecedência, concedendo assim tempo suficiente para objeção antes da contratação do(s) subcontratado(s), e deverá fornecer as informações necessárias para permitir o exercício do direito de objeção. A lista de subcontratados autorizados consta do Anexo III, que as Partes deverão manter atualizado.

Quando o importador de dados contratar um subcontratado, deverá fazê-lo por meio de um contrato escrito que preveja, em essência, as mesmas obrigações de proteção de dados que vinculam o importador de dados nos termos destas Cláusulas, incluindo os direitos de terceiros beneficiários dos titulares dos dados. Ao cumprir esta Cláusula, o importador de dados cumpre as suas obrigações nos termos da Cláusula 8.8. O importador de dados deverá assegurar que o subcontratado cumpra as obrigações a que está sujeito.

O importador de dados deverá fornecer, mediante solicitação do exportador de dados (ou, no caso do Módulo Três, do exportador ou do controlador de dados), uma cópia do contrato de subcontratação e quaisquer alterações subsequentes, sujeitas às devidas redações.

O importador de dados permanecerá totalmente responsável perante o exportador de dados pelo cumprimento das obrigações do subcontratado e deverá notificar o exportador de dados sobre qualquer descumprimento, por parte do subcontratado, de suas obrigações.

O importador de dados deverá acordar uma cláusula de beneficiário terceiro com o subcontratado, segundo a qual, caso o importador de dados tenha desaparecido de facto, deixado de existir legalmente ou se tenha tornado insolvente, o exportador de dados terá o direito de rescindir o contrato com o subcontratado e instruí-lo a apagar ou devolver os dados pessoais. Este requisito poderá ser cumprido mediante a adesão do subcontratado a estas Cláusulas no âmbito do Módulo apropriado, em conformidade com a Cláusula 7.

Cláusula 10

Direitos do titular dos dados

MÓDULO DOIS: Transferir controlador para processador

O importador de dados deverá notificar imediatamente o exportador de dados sobre qualquer solicitação recebida de um titular de dados e não deverá responder a essa solicitação, a menos que seja autorizado a fazê-lo pelo exportador de dados.

O importador de dados deverá auxiliar o exportador de dados no cumprimento de suas obrigações de responder às solicitações dos titulares dos dados, nos termos do Regulamento (UE) 2016/679. As Partes deverão estabelecer no Anexo II as medidas técnicas e organizacionais adequadas para a prestação dessa assistência, bem como o escopo e a extensão da assistência necessária.

Ao cumprir suas obrigações, o importador de dados deverá seguir as instruções do exportador de dados.

MÓDULO TRÊS: Transferir processador para processador

O importador de dados deverá notificar imediatamente o exportador de dados e, quando aplicável, o controlador de qualquer solicitação recebida de um titular de dados, não respondendo a menos que seja autorizado a fazê-lo pelo controlador.

O importador de dados deverá auxiliar, quando apropriado e em cooperação com o exportador de dados, o controlador no cumprimento de suas obrigações de responder às solicitações dos titulares dos dados. As Partes deverão estabelecer no Anexo II as medidas adequadas, bem como o escopo e a extensão da assistência necessária.

No cumprimento de suas obrigações, o importador de dados deverá seguir as instruções do controlador, conforme comunicadas pelo exportador de dados.

Cláusula 11

Reparação

O importador de dados deverá informar os titulares dos dados, de forma transparente e de fácil acesso, por meio de notificação individual ou em seu site, sobre um ponto de contato autorizado para tratar reclamações, e deverá tratar prontamente quaisquer reclamações. Em caso de litígio entre um titular dos dados e uma Parte relativamente ao cumprimento destas Cláusulas, essa Parte deverá envidar todos os esforços para resolver a questão de forma amigável e célere, e as Partes deverão manter-se mutuamente informadas e cooperar. Quando um titular dos dados invocar um direito de terceiro beneficiário, o importador de dados deverá aceitar a decisão do titular dos dados de apresentar uma reclamação à autoridade de controlo competente ou de submeter o litígio aos tribunais competentes, nos termos da Cláusula 18. O titular dos dados pode ser representado por uma entidade, organização ou associação sem fins lucrativos, nos termos do artigo 80.º, n.º 1, do Regulamento (UE) 2016/679.

Cláusula 12

Responsabilidade

MÓDULO DOIS e MÓDULO TRÊS

Cada Parte será responsável perante a(s) outra(s) Parte(s) por quaisquer danos que causar à(s) outra(s) Parte(s) por qualquer violação destas Cláusulas.

O importador de dados será responsável perante o titular dos dados, e o titular dos dados terá direito a receber uma compensação, por quaisquer danos materiais ou imateriais que o importador de dados ou seu subprocessador cause ao titular dos dados por violação dos direitos de terceiro beneficiário sob estas Cláusulas.

Não obstante o exposto, o exportador de dados será responsável perante o titular dos dados por quaisquer danos materiais ou imateriais que o exportador de dados ou o importador de dados (ou seu subcontratado) cause por violação dos direitos de terceiros beneficiários, sem prejuízo da responsabilidade do exportador de dados (e, quando este for um processador que atua em nome de um controlador, do controlador) nos termos do Regulamento (UE) 2016/679.

Caso o exportador de dados seja responsabilizado por danos causados ​​pelo importador de dados (ou seu subcontratado), terá o direito de exigir do importador de dados a parte correspondente da indenização. Quando mais de uma parte for responsável, todas as partes responsáveis ​​serão solidariamente responsáveis, com direito de contribuição entre elas. O importador de dados não poderá invocar a conduta de um subcontratado para se eximir de sua própria responsabilidade.

Cláusula 13

Supervisão

A autoridade supervisora ​​competente está identificada no Anexo IC. O importador de dados concorda em submeter-se à jurisdição da autoridade supervisora ​​competente e em cooperar com ela em quaisquer procedimentos destinados a garantir a conformidade com estas Cláusulas, incluindo responder a consultas, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade, devendo fornecer confirmação por escrito de que as medidas necessárias foram tomadas.

SEÇÃO III — LEIS E OBRIGAÇÕES LOCAIS EM CASO DE ACESSO POR AUTORIDADES PÚBLICAS

Cláusula 14

Leis e práticas locais que afetam o cumprimento das Cláusulas

As Partes garantem que não têm motivos para acreditar que as leis e práticas do país terceiro de destino aplicáveis ​​ao processamento dos dados pessoais pelo importador de dados, incluindo quaisquer requisitos de divulgação de dados pessoais ou medidas que autorizem o acesso por autoridades públicas, impeçam o importador de dados de cumprir suas obrigações nos termos destas Cláusulas. Ao fornecer esta garantia, as Partes levaram em consideração, em particular: as circunstâncias específicas da transferência; as leis e práticas do país terceiro de destino relevantes à luz dessas circunstâncias, bem como as limitações e salvaguardas aplicáveis; e quaisquer salvaguardas contratuais, técnicas ou organizacionais relevantes implementadas para complementar as salvaguardas previstas nestas Cláusulas. O importador de dados garante que envidou seus melhores esforços para fornecer ao exportador de dados as informações relevantes e continuará a cooperar. As Partes concordam em documentar a avaliação e disponibilizá-la à autoridade supervisora ​​competente, mediante solicitação. O importador de dados concorda em notificar o exportador de dados imediatamente caso tenha motivos para acreditar que está ou passou a estar sujeito a leis ou práticas que não estejam em conformidade com estes requisitos. Após tal notificação, ou quando o exportador de dados tiver motivos para acreditar que o importador de dados não pode mais cumprir suas obrigações, o exportador de dados deverá identificar prontamente as medidas apropriadas e, se não for possível garantir salvaguardas adequadas (ou se instruído pela autoridade supervisora ​​competente), deverá suspender a transferência e poderá rescindir o contrato na medida em que este diga respeito ao processamento de dados pessoais nos termos destas Cláusulas.

Cláusula 15

Obrigações do importador de dados em caso de acesso por autoridades públicas

15.1 Notificação

O importador de dados concorda em notificar o exportador de dados e, sempre que possível, o titular dos dados imediatamente, caso receba uma solicitação legalmente vinculativa de uma autoridade pública para divulgação de dados pessoais transferidos nos termos destas Cláusulas, ou tome conhecimento de qualquer acesso direto por autoridades públicas, incluindo as informações especificadas nas Cláusulas. Caso seja impedido de notificar, o importador de dados concorda em envidar seus melhores esforços para obter uma dispensa da proibição e documentar esses esforços. Quando permitido, o importador de dados deverá fornecer ao exportador de dados, em intervalos regulares, informações relevantes sobre as solicitações recebidas, e deverá conservar tais informações durante a vigência do contrato e disponibilizá-las à autoridade supervisora ​​competente, mediante solicitação.

15.2 Análise da legalidade e da minimização de dados

O importador de dados concorda em analisar a legalidade de qualquer pedido de divulgação, em contestar o pedido caso conclua, com base em fundamentos razoáveis, que este é ilegal, e em buscar as possibilidades de recurso, requerendo medidas cautelares e não divulgando os dados pessoais solicitados até que seja obrigado a fazê-lo pelas normas processuais aplicáveis. O importador de dados concorda em documentar sua avaliação jurídica e qualquer contestação e, na medida do permitido, disponibilizá-la ao exportador de dados e à autoridade supervisora ​​competente. O importador de dados concorda em fornecer a quantidade mínima de informações permitida ao responder a um pedido, com base em uma interpretação razoável do mesmo.

SEÇÃO IV — DISPOSIÇÕES FINAIS

Cláusula 16

Não cumprimento das Cláusulas e rescisão

O importador de dados deverá informar imediatamente o exportador de dados caso não consiga cumprir estas Cláusulas. Caso o importador de dados esteja em incumprimento ou não consiga cumprir as Cláusulas, o exportador de dados deverá suspender a transferência até que o cumprimento seja novamente assegurado ou o contrato seja rescindido. O exportador de dados poderá rescindir o contrato, no que diz respeito ao tratamento de dados pessoais ao abrigo destas Cláusulas, nos seguintes casos: (i) se tiver suspendido a transferência e o cumprimento não for restabelecido num prazo razoável e, em qualquer caso, no prazo de um mês após a suspensão; (ii) se o importador de dados estiver em incumprimento substancial ou persistente; ou (iii) se o importador de dados não cumprir uma decisão vinculativa de um tribunal ou autoridade de controlo competente. Os dados pessoais transferidos antes da rescisão deverão, à escolha do exportador de dados, ser devolvidos ou eliminados na sua totalidade, incluindo as cópias, devendo o importador de dados certificar a eliminação. Qualquer das Partes poderá revogar o seu acordo de vinculação caso a Comissão Europeia adote uma decisão de adequação que abranja a transferência ou se o Regulamento (UE) 2016/679 passar a fazer parte do quadro jurídico do país para o qual os dados são transferidos.

Cláusula 17

Lei regente

Estas cláusulas serão regidas pela legislação de um Estado-Membro da UE, desde que tal legislação permita direitos de terceiros beneficiários. As Partes concordam que será aplicada a legislação dos Países Baixos.

Cláusula 18

Escolha do foro e jurisdição

Qualquer litígio decorrente destas Cláusulas será resolvido pelos tribunais de um Estado-Membro da UE, sendo que as Partes concordam que serão os tribunais dos Países Baixos. O titular dos dados poderá também intentar uma ação judicial contra o exportador e/ou importador de dados perante os tribunais do Estado-Membro em que tenha a sua residência habitual. As Partes concordam em submeter-se à jurisdição desses tribunais.

APÊNDICE ÀS CLÁUSULAS CONTRATUAIS PADRÃO

ANEXO IA — LISTA DE PARTES

Exportador de dados: Cliente, conforme identificado no Contrato. Importador de dados: Stellar Cyber ​​Inc., conforme identificado no Contrato.

ANEXO IB — DESCRIÇÃO DA TRANSFERÊNCIA

Categorias de titulares de dados: todos os funcionários, agentes, consultores, subcontratados ou pessoas de contato do exportador de dados, parceiros de canal, clientes, potenciais clientes, parceiros comerciais e fornecedores do Cliente, e quaisquer outros usuários dos endpoints do Cliente nos quais os Entregáveis ​​estão instalados, ou outros usuários autorizados dos Entregáveis.

Categorias de dados pessoais transferidos:

Detalhes da empresa do cliente; cargos, e-mails, números de telefone e nomes dos representantes do cliente; informações de faturamento; informações comerciais; e outros dados ou informações que o cliente decida fornecer à Stellar Cyber ​​por meio dos Entregáveis ​​ou por qualquer outro meio.

Dados do usuário e do endpoint: ID do agente, nome do endpoint, ID do usuário do Active Directory, nome do usuário, aplicativos instalados (data de instalação, tamanho, editor e versão), nome do usuário SMTP e dados de configuração relacionados à integração com o Active Directory.

Caminho completo do arquivo (incluirá dados pessoais somente se o nome do arquivo, conforme definido pelo Cliente, contiver dados pessoais).

Dados de rede (endereço IP de rede interna, endereço IP público, endereço MAC).

Arquivos reconstruídos: arquivos reconstruídos na rede.

Configurações do sistema recebidas do Console de Gerenciamento (nomes de usuário, e-mails e números de telefone).

Informações sobre ameaças (caminho do arquivo, assinatura de detecção de intrusão, que pode incluir nomes de usuário, endereços IP e nomes de arquivos).

Monitoramento de rede ao vivo (URLs, cabeçalhos de URL, carimbos de data/hora).

Onde o Cliente aciona a funcionalidade dos Entregáveis ​​que permite ao Cliente ou aos administradores do Cliente fazer com que os arquivos sejam recuperados, coletados ou transmitidos para a Stellar Cyber ​​para análise.

Dados sensíveis transferidos: consulte o Apêndice 1 (Detalhes do Processamento de Dados do Cliente), “Categorias especiais de dados”. Frequência da transferência: contínua durante a vigência do Contrato. Finalidade(s) da transferência de dados e processamento posterior: a Stellar Cyber ​​é contratada para fornecer os Produtos ao Cliente, o que envolve o processamento de dados pessoais conforme necessário para a entrega dos Produtos e para o cumprimento do Contrato e deste DPA. Período de retenção: a duração do processamento será até o término ou rescisão do Contrato, após o qual os Dados do Cliente serão excluídos de acordo com a Seção 9 (Exclusão de Dados). Para transferências a subcontratados: a Stellar Cyber ​​utiliza subcontratados para dar suporte à sua infraestrutura, telecomunicações e redes, armazenamento de dados e entrega de conteúdo; os dados pessoais são processados ​​pelos subcontratados para as finalidades e durante a vigência do respectivo contrato de serviços ou documento de pedido da Stellar Cyber. Consulte a lista de subcontratados no Anexo III.

Frequência de transferência: contínua durante a vigência do Contrato.

ANEXO IC — AUTORIDADE SUPERVISORA COMPETENTE

Para assuntos relacionados com a transferência de dados nos termos do Regulamento (UE) 2016/679: a Autoridade de Proteção de Dados dos Países Baixos (https://www.autoriteitpersoonsgegevens.nl/en).

ANEXO II — MEDIDAS TÉCNICAS E ORGANIZACIONAIS

As medidas técnicas e organizacionais implementadas pelo importador de dados são aquelas estabelecidas no Anexo 2 (Medidas de Segurança) deste DPA. Para transferências a subcontratados, a Stellar Cyber ​​exige que estes cumpram medidas técnicas e organizacionais substancialmente equivalentes às adotadas pela Stellar Cyber.

ANEXO III — LISTA DE SUBPROCESSADORES

O controlador autorizou o uso dos subprocessadores, conforme descrito e atualizado na seção 6.3, cuja versão atual está disponível em https://stellarcyber.ai/dpa/subprocessors (e poderá ser atualizada pela Stellar Cyber ​​periodicamente, de acordo com este DPA).

SUPLEMENTO SUÍÇO

Os seguintes termos complementam as Cláusulas Contratuais Padrão apenas se e na medida em que as Cláusulas Contratuais Padrão se aplicarem em relação às transferências de dados sujeitas à Lei Federal de Proteção de Dados de 25 de setembro de 2020 (Suíça): o termo “Estado-Membro” será interpretado de forma a permitir que um titular de dados na Suíça exerça os seus direitos ao abrigo das Cláusulas no seu local de residência habitual (Suíça) de acordo com a Cláusula 18(c) destas Cláusulas.

APÊNDICE 5:

Adendo sobre Transferência Internacional de Dados do Reino Unido

Este Adendo foi emitido pelo Comissário de Informações para Partes que fazem Transferências Restritas. O Comissário de Informação considera que fornece Salvaguardas Apropriadas para Transferências Restritas quando é celebrado como um contrato juridicamente vinculativo.

Parte 1: Tabelas

Tabela 1 (Partes): O Exportador (que envia a Transferência Restrita) e o Importador (que recebe a Transferência Restrita) e seus dados são os especificados no Acordo. Data de Início: a Data de Vigência do Acordo.

Tabela 2 (Cláusulas Contratuais Padrão Selecionadas, Módulos e Cláusulas Selecionadas): A versão das Cláusulas Contratuais Padrão da UE aprovadas à qual este Adendo é anexado, incluindo as Informações do Apêndice, é a versão estabelecida no Apêndice 4 deste DPA.

Tabela 3 (Informações do Apêndice): “Informações do Apêndice” significa as informações que devem ser fornecidas para os módulos selecionados, conforme estabelecido no Apêndice das Cláusulas Contratuais Padrão da UE aprovadas (exceto as Partes), e que, para este Adendo, estão definidas nos Anexos às Cláusulas Contratuais Padrão no Apêndice 4 deste DPA.

Tabela 4 (Encerramento deste Adendo quando o Adendo Aprovado for alterado): Tanto o Importador quanto o Exportador podem encerrar este Adendo conforme estabelecido na Seção 19 das Cláusulas Obrigatórias.

Parte 2: Cláusulas Obrigatórias

Cada Parte concorda em ficar vinculada aos termos e condições estabelecidos neste Adendo, em troca da outra Parte também concordar em ficar vinculada a este Adendo. Embora o Anexo 1.A. e a Cláusula 7 das Cláusulas Contratuais Padrão da UE Aprovadas exijam a assinatura das Partes, para fins de Transferências Restritas, as Partes podem celebrar este Adendo de qualquer forma que o torne juridicamente vinculativo para as Partes e permita que os titulares dos dados exerçam seus direitos conforme estabelecido neste Adendo. A celebração deste Adendo terá o mesmo efeito que a assinatura das Cláusulas Contratuais Padrão da UE Aprovadas e qualquer parte das Cláusulas Contratuais Padrão da UE Aprovadas.

Interpretação deste Adendo

Quando este Adendo utiliza termos definidos nas Cláusulas Contratuais Padrão (SCCs) da UE aprovadas, esses termos terão o mesmo significado que nas SCCs da UE aprovadas. Além disso: “Adendo” significa este Adendo de Transferência Internacional de Dados, incorporando as SCCs da UE do Adendo; “SCCs da UE do Adendo” significa a(s) versão(ões) das SCCs da UE aprovadas às quais este Adendo está anexado, incluindo as Informações do Apêndice; “Salvaguardas Adequadas” significa o padrão de proteção sobre os dados pessoais e dos direitos dos titulares dos dados exigido pelas Leis de Proteção de Dados do Reino Unido ao realizar uma Transferência Restrita com base em cláusulas padrão de proteção de dados, nos termos do Artigo 46(2)(d) do RGPD do Reino Unido; “Adendo Aprovado” significa o modelo de Adendo emitido pelo ICO e apresentado ao Parlamento nos termos do artigo 119A da Lei de Proteção de Dados de 2018 em 2 de fevereiro de 2022, conforme revisado nos termos do artigo 18; “Cláusulas Contratuais Padrão da UE aprovadas” significa as Cláusulas Contratuais Padrão estabelecidas no Anexo da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021; “ICO” significa o Comissário de Informação; “Transferência Restrita” significa uma transferência abrangida pelo Capítulo V do RGPD do Reino Unido; “Reino Unido” significa o Reino Unido da Grã-Bretanha e Irlanda do Norte; “Leis de Proteção de Dados do Reino Unido” significa todas as leis relativas à proteção de dados, ao processamento de dados pessoais, à privacidade e/ou às comunicações eletrônicas em vigor no Reino Unido, incluindo o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018; e “RGPD do Reino Unido” tem o significado atribuído na seção 3 da Lei de Proteção de Dados de 2018.

Este Adendo deve sempre ser interpretado de forma consistente com as Leis de Proteção de Dados do Reino Unido e de modo a cumprir as obrigações das Partes de fornecer as Salvaguardas Adequadas. Se alguma disposição do Adendo às Cláusulas Contratuais Padrão da UE alterar as Cláusulas Contratuais Padrão da UE Aprovadas de uma forma não permitida pelas Cláusulas Contratuais Padrão da UE Aprovadas ou pelo Adendo Aprovado, essa alteração não será incorporada e a disposição equivalente das Cláusulas Contratuais Padrão da UE Aprovadas entrará em vigor. Em caso de inconsistência ou conflito entre as Leis de Proteção de Dados do Reino Unido e este Adendo, as Leis de Proteção de Dados do Reino Unido prevalecerão; e, quando o significado não for claro, prevalecerá o significado que mais se aproxime das Leis de Proteção de Dados do Reino Unido. As referências à legislação significam a legislação conforme possa ser alterada ao longo do tempo.

Embora a Cláusula 5 das Cláusulas Contratuais Padrão (SCCs) da UE aprovadas estabeleça que estas prevalecem sobre todos os acordos relacionados, as Partes concordam que, para Transferências Restritas, a hierarquia da Seção 10 das Cláusulas Obrigatórias prevalecerá. Em caso de inconsistência ou conflito entre o Adendo Aprovado e as Cláusulas Contratuais Padrão (SCCs) do Adendo, o Adendo Aprovado prevalecerá sobre as Cláusulas Contratuais Padrão (SCCs) do Adendo, exceto quando os termos conflitantes das Cláusulas Contratuais Padrão (SCCs) do Adendo proporcionarem maior proteção aos titulares dos dados, caso em que esses termos prevalecerão sobre o Adendo Aprovado.

Incorporação e mudanças nos SCCs da UE

Este Adendo incorpora as Cláusulas Contratuais Padrão da UE, que são alteradas na medida necessária para que: (a) em conjunto, operem para as transferências de dados realizadas pelo exportador de dados para o importador de dados, na medida em que as Leis de Proteção de Dados do Reino Unido se apliquem ao processamento do exportador de dados, e forneçam Salvaguardas Adequadas para essas transferências; (b) as Seções 9 a 11 das Cláusulas Obrigatórias prevaleçam sobre a Cláusula 5 (Hierarquia) das Cláusulas Contratuais Padrão da UE; e (c) este Adendo seja regido pelas leis da Inglaterra e do País de Gales e qualquer disputa decorrente dele seja resolvida pelos tribunais da Inglaterra e do País de Gales, a menos que as leis e/ou tribunais da Escócia ou da Irlanda do Norte tenham sido expressamente escolhidos pelas Partes.

As seguintes alterações ao Adendo às Cláusulas Contratuais Padrão da UE são feitas: as referências às “Cláusulas” significam este Adendo, incorporando as Cláusulas Contratuais Padrão da UE; na Cláusula 2, as palavras “e, no que diz respeito às transferências de dados de controladores para processadores e/ou de processadores para processadores, as cláusulas contratuais padrão nos termos do Artigo 28(7) do Regulamento (UE) 2016/679” são eliminadas; a Cláusula 6 é substituída por: “Os detalhes da(s) transferência(s), e em particular as categorias de dados pessoais que são transferidas e a(s) finalidade(s) para as quais são transferidas, são as especificadas no Anexo IB, quando as Leis de Proteção de Dados do Reino Unido se aplicam ao processamento do exportador de dados ao efetuar essa transferência”; a Cláusula 8.7(i) do Módulo Um e a Cláusula 8.8(i) dos Módulos Dois e Três são substituídas para se referirem a um país que beneficia de regulamentos de adequação nos termos da Secção 17A do RGPD do Reino Unido; As referências ao “Regulamento (UE) 2016/679” e ao “respeito ao Regulamento” são substituídas por “Leis de Proteção de Dados do Reino Unido”, e as referências a artigos específicos são substituídas pelo artigo ou secção equivalente das Leis de Proteção de Dados do Reino Unido; as referências ao Regulamento (UE) 2018/1725 são removidas; as referências à “União Europeia”, “União”, “UE”, “Estado-Membro da UE”, “Estado-Membro” e “UE ou Estado-Membro” são substituídas por “Reino Unido”; a referência à “Cláusula 12(c)(i)” na Cláusula 10(b)(i) do Módulo Um é substituída por “Cláusula 11(c)(i)”; a Cláusula 13(a) e a Parte C do Anexo I não são utilizadas; “autoridade de supervisão competente” e “autoridade de supervisão” são substituídas pelo “Comissário de Informação”; Na Cláusula 16(e), a subseção (i) é substituída por “o Secretário de Estado elabora regulamentos de acordo com a Seção 17A da Lei de Proteção de Dados de 2018 que abrangem a transferência de dados pessoais aos quais estas Cláusulas se aplicam”; a Cláusula 17 é substituída por “Estas Cláusulas são regidas pelas leis da Inglaterra e do País de Gales”; e a Cláusula 18 é substituída por “Qualquer disputa decorrente destas Cláusulas será resolvida pelos tribunais da Inglaterra e do País de Gales. O titular dos dados também pode instaurar processos judiciais contra o exportador e/ou importador de dados perante os tribunais de qualquer país do Reino Unido. As Partes concordam em submeter-se à jurisdição de tais tribunais.” As notas de rodapé das Cláusulas Contratuais Padrão da UE aprovadas não fazem parte do Adendo, exceto as notas de rodapé 8, 9, 10 e 11.

Alterações a este Adendo

As Partes podem concordar em alterar as Cláusulas 17 e/ou 18 do Adendo às Cláusulas Contratuais Padrão da UE para fazer referência às leis e/ou tribunais da Escócia ou da Irlanda do Norte, e podem alterar o formato das informações na Parte 1: Tabelas, mediante acordo por escrito, desde que a alteração não reduza as Salvaguardas Adequadas. Periodicamente, o ICO poderá emitir um Adendo Aprovado revisado que faça alterações razoáveis ​​e proporcionais e/ou reflita alterações nas Leis de Proteção de Dados do Reino Unido; este Adendo será automaticamente alterado conforme estabelecido no Adendo Aprovado revisado a partir da data de início especificada. Caso um Adendo Aprovado revisado cause, como resultado direto, um aumento substancial, desproporcional e demonstrável nos custos diretos e/ou riscos de uma Parte selecionada na Tabela 4 sob o Adendo (após ter tomado medidas razoáveis ​​para reduzi-los), essa Parte poderá rescindir este Adendo ao final de um prazo razoável de aviso prévio, mediante notificação por escrito enviada antes da data de início do Adendo Aprovado revisado. As Partes não precisam do consentimento de terceiros para fazer alterações a este Adendo, mas quaisquer alterações devem ser feitas de acordo com seus termos.

ANEXO 6.3