GDPR e DPA

1. Relação com o Contrato

1.1. Este Adendo de Processamento de Dados (“DPA”) faz parte do Contrato Principal de Serviços ou dos Termos de Uso disponíveis em https://gmelius.com/legal/terms ou em qualquer outro local em que os Termos de Uso possam ser publicados de tempos em tempos (conforme aplicável, o “Contrato”), celebrado por e entre o Cliente e a Gmelius SA (“Gmelius”), de acordo com o qual o Cliente acessou os Serviços de Aplicativos da Gmelius conforme definido no Contrato aplicável. A Gmelius and Company são individualmente uma “parte” e, coletivamente, as “partes”.

1.2. Este DPA se aplica somente na medida em que a Gmelius recebe, armazena ou processa dados pessoais em conexão com os Serviços. O Anexo 1 descreve as atividades de processamento no escopo deste DPA.

1.3. As partes concordam que este DPA substituirá qualquer adendo de processamento de dados existente que as partes possam ter celebrado anteriormente em conexão com os Serviços.

1.4. Exceto pelas alterações feitas por este DPA, o Contrato permanece inalterado e em pleno vigor e efeito. Se houver algum conflito entre este DPA e o Contrato, este DPA prevalecerá na medida desse conflito.

1,5. Qualquer reclamação apresentada sob ou em conexão com este DPA estará sujeita ao Contrato.

1,6. A Empresa concorda ainda que quaisquer penalidades regulatórias incorridas pela Gmelius em relação aos Dados da Empresa que surjam como resultado ou em conexão com a falha da Empresa em cumprir suas obrigações sob este DPA ou quaisquer Leis de Proteção de Dados aplicáveis contarão e reduzirão a responsabilidade da Gmelius nos termos do Contrato, como se fosse responsabilidade perante a Empresa nos termos do Contrato.

1.7. Ninguém além de uma parte deste DPA, seus sucessores e cessionários permitidos terá o direito de fazer cumprir qualquer um de seus termos (exceto na medida em que os indivíduos possam fazer valer seus direitos por meio de um Mecanismo Internacional de Transferência de Dados).

1,8. Este DPA será regido e interpretado de acordo com as disposições da lei vigente e jurisdição do Contrato, a menos que exigido de outra forma por um Mecanismo Internacional de Transferência de Dados ou pelas Leis de Proteção de Dados aplicáveis.

1,9. No caso de um conflito entre este DPA e o Contrato, o DPA controlará na medida necessária para resolver o conflito. Caso as partes usem um Mecanismo Internacional de Transferência de Dados e haja um conflito entre as obrigações desse Mecanismo Internacional de Transferência de Dados e este DPA, o Mecanismo Internacional de Transferência de Dados controlará.

1,10. Pode ser necessário que a Gmelius atualize este DPA para cumprir a lei aplicável e, nesse caso, a Gmelius fornecerá um aviso razoável sobre essas atualizações.

2. Definições

2.1. Os termos a seguir têm os significados estabelecidos abaixo. Todos os termos em maiúsculas não definidos neste DPA terão os significados estabelecidos no Contrato.

2.2. Os termos a seguir têm as definições dadas a eles na CCPA:”Negócios,””Venda,””Provedor de serviços,” e”Terceiro partido.”

2.3. ”Contrato” significa o (s) contrato (s) celebrado (s) entre as partes, que regem a prestação dos Serviços à Empresa.

2.4. ”Dados da empresa” significa quaisquer Dados Pessoais que a Gmelius processa em nome da Empresa como Processadora durante a prestação de Serviços.

2,5. ”Consentimento” significa a indicação livre, específica, informada e inequívoca de um Titular dos Dados sobre os desejos do Titular dos Dados, pela qual ele ou ela, por meio de uma declaração ou ação afirmativa clara, concorda com o Processamento de Dados Pessoais relacionados a ele ou ela.

2.6. ”Controlador” significa a entidade que determina as finalidades e os meios do processamento de dados pessoais. “Controlador” inclui termos equivalentes em outras leis de proteção de dados, como o termo “Empresa” ou “Terceiro” definido pela CCPA, conforme exigido pelo contexto.

2.7. ”Lei de proteção de dados” significa todas as leis de proteção de dados e privacidade aplicáveis ao processamento de Dados Pessoais nos termos do Contrato, incluindo o Regulamento 2016/679 (Regulamento Geral de Proteção de Dados) (“GDPR”) e o Cal. Civ. Título do código 1.81.5, § 1798.100 et seq. (Lei de Privacidade do Consumidor da Califórnia) (“CCPA”).

2,8. ”Titular dos dados” significa uma pessoa física identificada ou identificável.

2,9. ”Dados não identificados” significa um conjunto de dados que não contém nenhum dado pessoal. Os dados agregados são dados não identificados. “Desidentificar” significa criar dados não identificados a partir de dados pessoais.

2,10. ”EEE” significa o Espaço Econômico Europeu.

2,11. ”Dados pessoais” significa informações que identificam, se relacionam com, descrevem, são razoavelmente capazes de serem associadas ou poderiam ser vinculadas, direta ou indiretamente, a um Titular dos Dados. “Dados pessoais” incluem termos equivalentes na Lei de Proteção de Dados, como o termo “Informações pessoais” definido pela CCPA, conforme exigido pelo contexto.

2,12”Violação de dados pessoais” significa uma violação da segurança dos Serviços que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso aos Dados da Empresa.

2,13. ”Processo” ou”Processando” qualquer operação ou conjunto de operações que uma parte realiza em Dados Pessoais, incluindo coleta, registro, organização, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou outra forma de disponibilização, alinhamento ou combinação, bloqueio, apagamento ou destruição.

2,14. ”Processador” significa uma entidade que processa Dados Pessoais em nome de outra entidade. “Processador” inclui termos equivalentes em outras Leis de Proteção de Dados, como o termo “Provedor de Serviços” definido pela CCPA, conforme exigido pelo contexto.

2,15. ”Dados confidenciais” significa os seguintes tipos e categorias de dados: dados que revelam origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas ou filiação a sindicatos; dados genéticos; dados biométricos; dados sobre saúde, incluindo informações de saúde protegidas regidas pela Lei de Responsabilidade e Portabilidade de Seguros de Saúde; dados sobre a vida sexual ou orientação sexual de uma pessoa física; números de identificação governamental (por exemplo, SSNs, carteira de motorista); informações de cartão de pagamento; informações pessoais não públicas regido pela Lei Gramm Leach Bliley; um identificador não criptografado em combinação com uma senha ou outro código de acesso que permitiria o acesso à conta do titular dos dados; e geolocalização precisa.

2,16. ”Serviços” significa qualquer produto ou serviço fornecido pela Gmelius à Empresa de acordo com o Contrato.

2,17. ”Cláusulas contratuais padrão” significa as cláusulas contratuais padrão da União Europeia para transferências internacionais do Espaço Econômico Europeu para países terceiros, Decisão de Execução da Comissão (UE) 2021/914 de 4 de junho de 2021.

2,18. ”Subprocessador” significa um Processador contratado por uma parte que está atuando como Processador.

3. Descrição das atividades de processamento de dados pessoais das partes e status das partes

3.1. O Anexo 1 descreve as finalidades do processamento das partes, os tipos ou categorias de dados pessoais envolvidos no processamento e as categorias dos titulares dos dados afetados pelo processamento.

3.2. O Anexo 1 lista os status das partes de acordo com a Lei de Proteção de Dados relevante.

4. Transferência internacional de dados

4.1. Algumas jurisdições exigem que uma entidade que transfira Dados Pessoais ou acesse Dados Pessoais de uma jurisdição estrangeira tome medidas extras para garantir que os Dados Pessoais tenham proteções especiais (uma”Mecanismo internacional de transferência de dados”). As partes cumprirão qualquer Mecanismo Internacional de Transferência de Dados que possa ser exigido pela Lei de Proteção de Dados aplicável, incluindo as Cláusulas Contratuais Padrão. Antes de qualquer uma das partes transferir para a outra parte ou permitir que a outra parte acesse Dados Pessoais localizados em uma jurisdição que exija um Mecanismo Internacional de Transferência de Dados, a parte transferidora notificará a outra parte sobre o requisito relevante e as partes trabalharão juntas de boa fé para cumprir os requisitos desse Mecanismo Internacional de Transferência de Dados.

4.2. Se o Mecanismo Internacional de Transferência de Dados no qual as partes confiam for invalidado ou substituído, as partes trabalharão juntas de boa fé para encontrar uma alternativa adequada.

4.3. Com relação aos Dados Pessoais de Titulares de Dados localizados no EEE, na Suíça ou no Reino Unido que a Empresa transfere para a Gmelius ou permite que a Gmelius acesse, as partes concordam que, ao executar este DPA, elas também executam as Cláusulas Contratuais Padrão, que serão incorporadas por referência e farão parte integrante deste DPA. As partes concordam que, com relação aos elementos das Cláusulas Contratuais Padrão que exigem a entrada das partes, os Anexos 1 e 2 contêm as informações relevantes. As partes concordam que, para Dados Pessoais de Titulares de Dados no Reino Unido e na Suíça, adotam as modificações nas Cláusulas Contratuais Padrão listadas no Anexo 1 para adaptar as Cláusulas Contratuais Padrão às leis do Reino Unido ou da Suíça, conforme aplicável.

5. Proteção de dados em geral

5.1. Conformidade. As partes cumprirão suas respectivas obrigações de acordo com a Lei de Proteção de Dados e seus avisos de privacidade.

5.2. Processamento de dados pessoais pela empresa. A Empresa declara e garante que tem o consentimento ou outra base legal necessária para coletar e divulgar Dados Pessoais à Gmelius em conexão com os Serviços.

5.3. Cooperação.

1. Solicitações de titulares de dados. (5.3.1.1.) Facilitação de respostas. Os Serviços fornecem à Empresa vários controles que a Empresa pode usar para recuperar, corrigir, excluir ou restringir os Dados da Empresa, que a Empresa pode usar para auxiliá-la em relação às suas obrigações de acordo com a Lei de Proteção de Dados, incluindo suas obrigações relacionadas à resposta a solicitações de indivíduos ou autoridades de proteção de dados aplicáveis. Na medida em que a Empresa não consiga acessar de forma independente os Dados da Empresa relevantes nos Serviços, a Gmelius fornecerá (às custas da Empresa) cooperação razoável para ajudar a Empresa a responder a quaisquer solicitações de indivíduos ou autoridades de proteção de dados aplicáveis relacionadas ao Processamento de Dados da Empresa nos termos do Contrato. (5.3.1.2.) Solicitações recebidas por Gmelius. Caso a Gmelius receba alguma solicitação de indivíduos para exercer seus direitos, a Gmelius notificará o indivíduo sobre a necessidade de enviar a solicitação diretamente à Empresa e notificará imediatamente a Empresa sobre a solicitação, a menos que a Gmelius esteja legalmente proibida de fornecer tal notificação.
2. Solicitações governamentais e investigatórias. Se uma autoridade governamental (por exemplo, a Comissão Federal de Comércio, o Procurador Geral de um estado dos EUA ou uma autoridade europeia de proteção de dados) enviar à Gmelius uma demanda por Dados da Empresa (por exemplo, por meio de uma intimação ou ordem judicial), a Gmelius tentará redirecionar a agência policial para solicitar esses dados diretamente da Empresa. Como parte desse esforço, a Gmelius pode fornecer as informações básicas de contato da Empresa à autoridade governamental. Se for obrigada a divulgar os Dados da Empresa a uma autoridade governamental, a Gmelius notificará a Empresa com razoável antecedência sobre a demanda para permitir que a Empresa busque uma ordem de proteção ou outro recurso apropriado, a menos que a Gmelius esteja legalmente proibida de fazê-lo.
3. Outros requisitos da lei de proteção de dados. Mediante solicitação, as partes fornecerão informações relevantes umas às outras para cumprir suas respectivas obrigações (se houver) de realizar avaliações de impacto na proteção de dados ou consultas prévias com as autoridades de proteção de dados.

5.4. Confidencialidade. As partes garantirão que seus funcionários, contratados independentes e agentes estejam sujeitos à obrigação de manter os Dados Pessoais confidenciais.

5,5. Tecnologias de rastreamento. A empresa reconhece que, em conexão com o desempenho dos Serviços, a Gmelius emprega o uso de cookies, identificadores exclusivos, web beacons e tecnologias de rastreamento semelhantes (“Tecnologias de rastreamento”). A Empresa manterá mecanismos apropriados de notificação, consentimento, aceitação e exclusão, conforme exigido pelas Leis de Proteção de Dados, para permitir que a Gmelius implante tecnologias de rastreamento legalmente e colete dados dos dispositivos dos usuários finais (definidos abaixo) de acordo com e conforme descrito na Declaração de Cookies da Gmelius (https://gmelius.com/legal/cookie-policy).

6. Segurança de dados

6.1. Controles de segurança. A Gmelius implementará e manterá medidas de segurança técnicas e organizacionais apropriadas para proteger os dados da empresa contra violações de dados pessoais e preservar a segurança e a confidencialidade dos dados da empresa, de acordo com os padrões de segurança da Gmelius descritos neste DPA e em https://gmelius.com/legal/security (“Medidas de segurança”).

6.2. Atualizações das medidas de segurança. A Empresa é responsável por revisar as informações disponibilizadas pela Gmelius relacionadas à segurança de dados e fazer uma determinação independente sobre se os Serviços atendem aos requisitos e obrigações legais da Empresa de acordo com as Leis de Proteção de Dados. A Empresa reconhece que as Medidas de Segurança estão sujeitas ao progresso técnico e ao desenvolvimento e que a Gmelius pode atualizar ou modificar as Medidas de Segurança de tempos em tempos, desde que tais atualizações e modificações não resultem na degradação da segurança geral dos Serviços adquiridos pela Empresa.

6.3. Responsabilidades da empresa. Não obstante o exposto acima, a Empresa concorda que, exceto conforme fornecido por este DPA, a Empresa é responsável pelo uso seguro dos Serviços, incluindo a proteção das credenciais de autenticação de sua conta, a proteção da segurança dos Dados da Empresa quando em trânsito de e para os Serviços e a tomada de todas as medidas apropriadas para criptografar ou fazer backup com segurança de quaisquer Dados da Empresa enviados para os Serviços.

7. Obrigações da Gmelius como processadora ou subprocessadora

7.1. A Gmelius terá as obrigações estabelecidas nesta Seção 7 se processar dados pessoais na qualidade de processadora da empresa; para maior clareza, essas obrigações não se aplicam à Gmelius na qualidade de controladora, empresa ou terceiro.

7.2. Escopo do processamento. A Gmelius processará os dados da empresa somente para os fins descritos neste DPA e somente de acordo com as instruções legais e documentadas da empresa. As partes concordam que este DPA e o Contrato estabelecem as instruções completas e finais da Empresa à Gmelius em relação ao Processamento de Dados da Empresa nos termos do Contrato e o Processamento fora do escopo dessas instruções (se houver) exigirá um acordo prévio por escrito entre a Empresa e a Gmelius. A Gmelius está proibida de: (i) vender dados da empresa; (ii) reter, usar ou divulgar os dados da empresa para qualquer finalidade que não seja a finalidade específica de realizar os serviços especificados no Contrato, incluindo reter, usar ou divulgar os Dados da Empresa para uma finalidade comercial que não seja fornecer os Serviços especificados no Contrato; ou (iii) reter, usar ou divulgar os Dados da Empresa fora da relação comercial direta entre a Empresa e Gélio. A Gmelius informará imediatamente a Empresa se seguir as instruções da Empresa resultar em uma violação da Lei de Proteção de Dados ou se a Gmelius precisar divulgar os Dados da Empresa em resposta a uma obrigação legal, a menos que a obrigação legal proíba a Gmelius de fazer tal divulgação. Não obstante qualquer disposição em contrário nesta Seção, a Gmelius pode processar os dados da empresa conforme necessário para detectar incidentes de segurança de dados ou proteger contra atividades fraudulentas ou ilegais e para criar ou melhorar a qualidade de seus produtos e serviços, desde que no curso dessas atividades a Gmelius não (i) permita que terceiros (além dos prestadores de serviços da Gmelius ou exceto conforme instruído pela Empresa) acessem os Dados da Empresa ou (ii) usem a Empresa Dados para modificar ou adicionar informações pessoais coletadas de uma fonte que não é a Empresa. Ao assinar este Adendo, a Gmelius certifica que compreende e cumprirá com as obrigações aqui contidas.

7.3. Solicitações dos titulares dos dados para exercer direitos. A Gmelius informará imediatamente a Empresa se receber uma solicitação de um Titular dos Dados para exercer seus direitos com relação aos seus Dados Pessoais de acordo com a Lei de Proteção de Dados aplicável. A empresa será responsável por responder a tais solicitações. A Gmelius não responderá a esses titulares de dados, exceto para reconhecer suas solicitações. A Gmelius fornecerá à Empresa assistência comercialmente razoável, mediante solicitação, para ajudar a Empresa a responder à solicitação do Titular dos Dados.

7.4. Subprocessadores Gmelius.

1. Subprocessadores existentes. A empresa concorda que a Gmelius pode usar os subprocessadores listados no Anexo 1.
2. Uso de subprocessadores. A empresa concede à Gmelius autorização geral para contratar subprocessadores se a Gmelius e esses subprocessadores firmarem um contrato que exija que o subprocessador cumpra obrigações que não sejam menos protetoras do que este DPA.
3. Notificação de adições ou alterações em subprocessadores. A Gmelius (i) fornecerá uma lista atualizada dos subprocessadores que nomeou mediante solicitação por escrito da Empresa em https://gmelius.com/legal/dpa; e (ii) notificar a Empresa (para o qual o e-mail será suficiente) se ela adicionar ou alterar subprocessadores pelo menos (10) dias corridos antes de tais alterações. A empresa pode se opor por escrito à nomeação de um subprocessador novo ou alterado pela Gmelius dentro de cinco (5) dias corridos a partir de tal notificação, desde que tal objeção seja baseada em motivos razoáveis relacionados à proteção de dados. Nesse caso, as partes discutirão tais preocupações de boa fé com o objetivo de alcançar uma solução. Se isso não for possível, a Empresa poderá suspender ou rescindir o Contrato (sem prejuízo de quaisquer taxas incorridas pela Empresa antes da suspensão ou rescisão).
4. Responsabilidade por subprocessadores. A Gmelius será responsável pelos atos ou omissões de seus Subprocessadores na mesma medida em que a Gmelius seria responsável se executasse os serviços do Subprocessador diretamente de acordo com o DPA, exceto conforme estabelecido de outra forma no Contrato.

7,5. Violação de dados pessoais. A Gmelius notificará a Empresa, sem demora injustificada, sobre uma violação de dados pessoais que afete os dados pessoais que a Gmelius processa em conexão com os Serviços. Mediante solicitação, a Gmelius fornecerá informações à Empresa sobre a violação de dados pessoais na medida necessária para que a Empresa cumpra quaisquer obrigações que tenha de investigar ou notificar as autoridades, exceto que a Gmelius se reserva o direito de redigir informações confidenciais ou competitivamente sensíveis. A Empresa concorda que a notificação por e-mail de uma violação de dados pessoais é suficiente e a Empresa notificará a Gmelius se ela alterar suas informações de contato. A Empresa concorda que a Gmelius não pode notificar a Empresa sobre eventos relacionados à segurança que não resultem em uma violação de dados pessoais ou afetem os processos de dados pessoais da Gmelius em conexão com os Serviços.

7.6. Exclusão e devolução de dados pessoais. Após a rescisão ou expiração do Contrato, a Gmelius, mediante solicitação da Empresa, excluirá (após fornecer à Empresa a capacidade de baixar, de acordo com o Contrato) todos os Dados da Empresa (incluindo cópias) em sua posse ou controle, exceto na medida em que a Gmelius seja obrigada pela lei aplicável a reter alguns ou todos os Dados da Empresa, que a Gmelius isolará e protegerá com segurança de qualquer processamento adicional, exceto na medida em que exigido pela lei aplicável.

7.7. Verificação de conformidade. Mediante solicitação razoável, a Gmelius verificará sua conformidade com este DPA, desde que a Empresa não exerça esse direito mais de uma vez por ano.

Cronograma 1

Descrição do processamento e dos subprocessadores

Subprocessadores

A empresa autoriza a Gmelius a usar os subprocessadores listados abaixo de acordo com a Seção 7.4.

Cronograma 2

Medidas de segurança técnicas e organizacionais da Gmelius

A Gmelius mantém salvaguardas administrativas, físicas e técnicas projetadas para proteger a segurança, confidencialidade e integridade dos Dados Pessoais do Cliente processados pela Gmelius como parte dos Serviços, conforme descrito aqui: https://gmelius.com/legal/security

Apêndice A

Cláusulas contratuais padrão

Cláusula 7: As partes não permitem o atracamento.

Cláusula 9, Módulo 2 (a): As partes selecionam a Opção 2. O período de tempo é de 5 dias.

Cláusula 9, Módulo 3 (a): As partes selecionam a Opção 2. O período de tempo é de 5 dias.

Cláusula 11 (a): As partes não selecionam a opção independente de resolução de disputas.

Cláusula 17: As partes concordam que a jurisdição governante é o Estado-Membro no qual o exportador de dados está estabelecido.

Cláusula 18: Para os Módulos 1-3, as partes concordam que o fórum é o Estado-Membro no qual o exportador de dados está estabelecido.

Anexo I (A): O exportador de dados é a Empresa. O importador de dados é o Gmelius. Os detalhes de contato das partes fazem parte do Contrato.

Anexo I (B): As partes concordam que o Anexo 1 descreve a transferência.

Anexo I (C): A autoridade supervisora competente é a autoridade supervisora que tem jurisdição primária sobre o exportador de dados.

Anexo II: As partes concordam que o Anexo 2 descreve as medidas técnicas e organizacionais aplicáveis à transferência.

Localizando as cláusulas contratuais padrão

Para a Suíça

• As partes adotam o padrão GDPR para todas as transferências de dados.
• Cláusula 13 e Anexo I (C): As autoridades competentes nos termos da Cláusula 13 e do Anexo I (C) são o Comissário Federal de Proteção e Informação de Dados e, simultaneamente, a autoridade do estado membro do EEE identificada acima.
• Cláusula 17: As partes concordam que a jurisdição governante é o Estado-Membro no qual o exportador de dados está estabelecido.
• Cláusula 18: Para os Módulos 1-3, as partes concordam que o fórum é o Estado-Membro no qual o exportador de dados está estabelecido. As partes concordam em interpretar as Cláusulas Contratuais Padrão para que os Titulares dos Dados na Suíça possam processar seus direitos na Suíça, de acordo com a Cláusula 18 (c).
• As partes concordam em interpretar as Cláusulas Contratuais Padrão para que os “Titulares dos Dados” incluam informações sobre entidades jurídicas suíças até que a Lei Federal revisada de Proteção de Dados entre em vigor.

Para o Reino Unido

• As partes concordam que as Cláusulas Contratuais Padrão são consideradas alteradas na medida do necessário para que operem para transferências do Reino Unido para um terceiro país e forneçam salvaguardas apropriadas para transferências de acordo com o artigo 46 do Regulamento Geral de Proteção de Dados do Reino Unido (“GDPR do Reino Unido”). Essas emendas incluem a alteração das referências ao GDPR para o GDPR do Reino Unido e a alteração das referências aos Estados-Membros da UE para o Reino Unido.
• Cláusula 17: As partes concordam que a jurisdição governante é o Reino Unido.
• Cláusula 18: Para os Módulos 1-3, as partes concordam que o fórum são os tribunais da Inglaterra e do País de Gales. As partes concordam que os Titulares dos Dados podem intentar processos judiciais contra qualquer uma das partes nos tribunais de qualquer país do Reino Unido.

‍