Este Adendo de Processamento de Dados ("DPA") faz parte do Acordo entre Push Engage LLC, atuando como PushEngage ("PushEngage") e o Cliente ("Cliente") e entrará em vigor na data em que ambas as partes executarem este DPA (a "Data de Vigência"). Todos os termos em maiúsculas não definidos neste DPA terão os significados estabelecidos no Acordo.

1. Definições

“Afiliada” significa uma entidade que direta ou indiretamente Controla, é Controlada por ou está sob Controle comum com uma entidade.

“Acordo” significa os Termos de Uso da PushEngage, que regem a prestação dos Serviços ao Cliente, conforme esses termos podem ser atualizados pela PushEngage de tempos em tempos.

“Controle” significa uma participação acionária, de voto ou similar representando cinquenta por cento (50%) ou mais dos interesses totais então pendentes da entidade em questão. O termo “Controlada” será interpretado de forma correspondente.

“Dados do Cliente” significa quaisquer Dados Pessoais que a PushEngage processe em nome do Cliente como um Processador de Dados no curso da prestação dos Serviços, conforme mais detalhado neste DPA.

“Leis de Proteção de Dados” significa todas as leis de proteção de dados e privacidade aplicáveis ao processamento de Dados Pessoais sob o Acordo, incluindo, quando aplicável, a Lei de Proteção de Dados da UE.

“Controlador de Dados” significa uma entidade que determina as finalidades e os meios de processamento de Dados Pessoais.

“Processador de Dados” significa uma entidade que processa Dados Pessoais em nome de um Controlador de Dados.

“Lei de Proteção de Dados da UE” significa (i) antes de 25 de maio de 2018, a Diretiva 95/46/CE do Parlamento Europeu e do Conselho relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados ("Diretiva") e, a partir de 25 de maio de 2018, o Regulamento 2016/679 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) ("RGPD"); e (ii) a Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas e as implementações nacionais aplicáveis (conforme possam ser alteradas, substituídas ou revogadas).

“EEE” significa, para os fins deste DPA, o Espaço Econômico Europeu, Reino Unido e Suíça.

“Grupo” significa quaisquer e todas as Afiliadas que fazem parte do grupo corporativo de uma entidade.

“Rede PushEngage” significa as instalações de data center da PushEngage, servidores, equipamentos de rede e sistemas de software host (por exemplo, firewalls virtuais) que estão sob o controle da PushEngage e são usados para fornecer os Serviços.

“Dados Pessoais” significa qualquer informação relacionada a uma pessoa natural identificada ou identificável.

“Processamento” tem o significado a ele atribuído pelo GDPR e “processar”, “processa” e “processado” devem ser interpretados em conformidade.

“Incidente de Segurança” significa qualquer violação de segurança não autorizada ou ilegal que resulte na destruição, perda, alteração, divulgação ou acesso acidental ou ilegal a Dados do Cliente.

“Serviços” significa qualquer produto ou serviço fornecido pela PushEngage ao Cliente de acordo com o Contrato.

“Cláusulas Contratuais Padrão” significa o Anexo C anexado e que faz parte deste Adendo.

“Subprocessador” significa qualquer Processador de Dados contratado pela PushEngage ou suas Afiliadas para auxiliar no cumprimento de suas obrigações relativas à prestação dos Serviços de acordo com o Contrato ou este DPA. Subprocessadores podem incluir terceiros ou membros do Grupo PushEngage.

2. Relação com o Contrato

2.1 As partes concordam que este DPA substituirá qualquer DPA existente que as partes possam ter celebrado anteriormente em conexão com os Serviços.

2.2 Exceto pelas alterações feitas por este DPA, o Contrato permanece inalterado e em plena força e efeito. Se houver qualquer conflito entre este DPA e o Contrato, este DPA prevalecerá na extensão desse conflito.

2.3 Quaisquer reivindicações feitas sob ou em conexão com este DPA estarão sujeitas aos termos e condições, incluindo, mas não se limitando a, as exclusões e limitações estabelecidas no Contrato.

2.4 Quaisquer reivindicações contra a PushEngage ou suas Afiliadas sob este DPA serão apresentadas unicamente contra a entidade que é parte do Contrato. Em nenhuma circunstância qualquer parte limitará sua responsabilidade em relação aos direitos de proteção de dados de qualquer indivíduo sob este DPA ou de outra forma. O Cliente concorda ainda que quaisquer penalidades regulatórias incorridas pela PushEngage em relação aos Dados do Cliente que surjam como resultado de, ou em conexão com, a falha do Cliente em cumprir suas obrigações sob este DPA ou quaisquer Leis de Proteção de Dados aplicáveis contarão e reduzirão a responsabilidade da PushEngage sob o Contrato como se fosse uma responsabilidade para com o Cliente sob o Contrato.

2.5 Ninguém, exceto uma parte deste DPA, seus sucessores e cessionários permitidos, terá o direito de fazer cumprir quaisquer de seus termos.

2.6 Este DPA será regido e interpretado de acordo com as disposições de lei aplicável e jurisdição do Contrato, a menos que exigido de outra forma pelas Leis de Proteção de Dados aplicáveis.

3. Escopo e Aplicabilidade deste DPA

3.1 Este DPA se aplica onde e apenas na medida em que a PushEngage processa Dados do Cliente que se originam do EEE e/ou que estão sujeitos à Lei de Proteção de Dados da UE em nome do Cliente como Processador de Dados no curso da prestação dos Serviços de acordo com o Contrato.

3.2 A Parte A (ou seja, a Seção 4 – 8 (inclusive) deste DPA, bem como os Anexos A, B e C deste DPA) será aplicável ao processamento de Dados do Cliente no escopo deste DPA a partir da Data Efetiva.

3.3 A Parte B (ou seja, as Seções 9-12 (inclusive) deste DPA) será aplicável ao processamento de Dados do Cliente no escopo do DPA a partir de 25 de maio de 2018. Para evitar dúvidas, a Parte B será aplicável em adição, e não em substituição, aos termos da Parte A.

Parte A: Obrigações Gerais de Proteção de Dados

4. Papéis e Escopo do Processamento

4.1 Papel das Partes. Entre PushEngage e o Cliente, o Cliente é o Controlador de Dados dos Dados do Cliente, e a PushEngage processará os Dados do Cliente apenas como um Processador de Dados agindo em nome do Cliente.

4.2 Processamento de Dados do Cliente pelo Cliente. O Cliente concorda que (i) cumprirá suas obrigações como Controlador de Dados sob as Leis de Proteção de Dados em relação ao seu processamento de Dados do Cliente e quaisquer instruções de processamento que emita para a PushEngage; e (ii) forneceu notificação e obteve (ou obterá) todos os consentimentos e direitos necessários sob as Leis de Proteção de Dados para que a PushEngage processe os Dados do Cliente e forneça os Serviços de acordo com o Contrato e este DPA.

4.3 Processamento de Dados do Cliente pela PushEngage. A PushEngage processará os Dados do Cliente apenas para os fins descritos neste DPA e apenas de acordo com as instruções legais documentadas do Cliente. As partes concordam que este DPA e o Contrato estabelecem as instruções completas e finais do Cliente para a PushEngage em relação ao processamento de Dados do Cliente e que o processamento fora do escopo destas instruções (se houver) exigirá acordo prévio por escrito entre o Cliente e a PushEngage.

4.4 Detalhes do Processamento de Dados.

1. Assunto: O assunto do processamento de dados sob este DPA são os Dados do Cliente.
2. Duração: Entre PushEngage e o Cliente, a duração do processamento de dados sob este DPA é até a rescisão do Contrato de acordo com seus termos.
3. Finalidade: A finalidade do processamento de dados sob este DPA é a prestação dos Serviços ao Cliente e o cumprimento das obrigações da PushEngage sob o Contrato (incluindo este DPA) ou conforme acordado pelas partes.
4. Natureza do processamento: A PushEngage fornece um serviço de notificação push da web e outros serviços relacionados, conforme descrito no Contrato.
5. Categorias de titulares de dados: Qualquer indivíduo que acesse e/ou utilize os Serviços através da conta do Cliente (“Usuários”); e qualquer indivíduo: (i) cujo endereço de e-mail esteja incluído na Lista de Distribuição do Cliente; (ii) cujas informações sejam armazenadas ou coletadas através dos Serviços, ou (iii) para quem os Usuários enviem e-mails ou de outra forma se engajem ou comuniquem através dos Serviços (coletivamente, “Inscritos”).
6. Tipos de Dados do Cliente:
7. Cliente e Usuários: dados de identificação e contato (nome, endereço, cargo, detalhes de contato, nome de usuário); informações financeiras (detalhes de cartão de crédito, detalhes de conta, informações de pagamento); detalhes de emprego (empregador, cargo, localização geográfica, área de responsabilidade);
8. Assinantes: dados de identificação e contato (nome, data de nascimento, gênero, informações gerais, de ocupação ou outras informações demográficas, endereço, cargo, detalhes de contato, incluindo endereço de e-mail), interesses ou preferências pessoais (incluindo histórico de compras, preferências de marketing e informações de perfil de mídia social publicamente disponíveis); informações de TI (endereços IP, dados de uso, dados de cookies, dados de navegação online, dados de localização, dados do navegador); informações financeiras (detalhes de cartão de crédito, detalhes de conta, informações de pagamento).
9. Não obstante qualquer disposição em contrário no Contrato (incluindo este DPA), o Cliente reconhece que a PushEngage terá o direito de usar e divulgar dados relacionados à operação, suporte e/ou uso dos Serviços para seus propósitos comerciais legítimos, como faturamento, gerenciamento de contas, suporte técnico, desenvolvimento de produtos e vendas e marketing. Na medida em que tais dados sejam considerados Dados Pessoais sob as Leis de Proteção de Dados, a PushEngage é a Controladora de Dados de tais dados e, consequentemente, processará tais dados de acordo com a Política de Privacidade da PushEngage e as Leis de Proteção de Dados.
10. Tecnologias de Rastreamento. O Cliente reconhece que, em conexão com o desempenho dos Serviços, a PushEngage emprega o uso de cookies, identificadores únicos, web beacons e tecnologias de rastreamento semelhantes ("Tecnologias de Rastreamento"). O Cliente manterá mecanismos apropriados de notificação, consentimento, opt-in e opt-out, conforme exigido pelas Leis de Proteção de Dados, para permitir que a PushEngage implante Tecnologias de Rastreamento legalmente nos dispositivos dos Assinantes (definidos abaixo) e colete dados deles, de acordo com e conforme descrito na Declaração de Cookies da PushEngage.

5. Subprocessamento

5.1 Subprocessadores Autorizados. O Cliente concorda que a PushEngage pode contratar Subprocessadores para processar Dados do Cliente em nome do Cliente. Os Subprocessadores atualmente contratados pela PushEngage e autorizados pelo Cliente estão listados no Anexo A.

5.2 Obrigações do Subprocessador. A PushEngage deverá: (i) celebrar um acordo por escrito com o Subprocessador impondo termos de proteção de dados que exijam que o Subprocessador proteja os Dados do Cliente no padrão exigido pelas Leis de Proteção de Dados; e (ii) permanecer responsável por sua conformidade com as obrigações deste DPA e por quaisquer atos ou omissões do Subprocessador que causem à PushEngage o descumprimento de quaisquer de suas obrigações sob este DPA.

6. Segurança

6.1 Medidas de Segurança. A PushEngage implementará e manterá medidas técnicas e organizacionais de segurança apropriadas para proteger os Dados do Cliente contra Incidentes de Segurança e para preservar a segurança e confidencialidade dos Dados do Cliente, de acordo com os padrões de segurança da PushEngage descritos no Anexo B (“Medidas de Segurança”).

6.2 Atualizações das Medidas de Segurança. O Cliente é responsável por revisar as informações disponibilizadas pela PushEngage relativas à segurança de dados e por determinar independentemente se os Serviços atendem aos requisitos do Cliente e às obrigações legais sob as Leis de Proteção de Dados. O Cliente reconhece que as Medidas de Segurança estão sujeitas ao progresso e desenvolvimento técnico e que a PushEngage pode atualizar ou modificar as Medidas de Segurança de tempos em tempos, desde que tais atualizações e modificações não resultem na degradação da segurança geral dos Serviços adquiridos pelo Cliente.

6.3 Responsabilidades do Cliente. Não obstante o acima exposto, o Cliente concorda que, exceto conforme previsto neste DPA, o Cliente é responsável pelo uso seguro dos Serviços, incluindo a proteção de suas credenciais de autenticação de conta, a proteção da segurança dos Dados do Cliente durante a transmissão de e para os Serviços e a tomada de quaisquer medidas apropriadas para criptografar ou fazer backup de forma segura de quaisquer Dados do Cliente carregados nos Serviços.

7. Relatórios e Auditorias de Segurança

7.1 O Cliente reconhece que a PushEngage é auditada regularmente em relação aos padrões SSAE 16 e PCI por auditores independentes terceirizados e auditores internos, respectivamente.

7.2 A PushEngage também fornecerá respostas por escrito (de forma confidencial) a todos os pedidos razoáveis de informações feitos pelo Cliente, incluindo respostas a questionários de segurança da informação e auditoria que sejam necessários para confirmar a conformidade da PushEngage com este DPA, desde que o Cliente não exerça este direito mais de uma vez por ano.

8. Transferências Internacionais

8.1 Locais dos data centers. A PushEngage pode transferir e processar Dados do Cliente em qualquer lugar do mundo onde a PushEngage, suas Afiliadas ou seus Subprocessadores mantenham operações de processamento de dados. A PushEngage fornecerá a todo momento um nível adequado de proteção para os Dados do Cliente processados, de acordo com os requisitos das Leis de Proteção de Dados.

8.2 Mecanismo Alternativo de Transferência. As partes concordam que a solução de exportação de dados identificada na Seção 8.2 não se aplicará se e na medida em que a PushEngage adote uma solução alternativa de exportação de dados para a transferência legal de Dados Pessoais (conforme reconhecido pelas Leis de Proteção de Dados da UE) para fora do EEE (“Mecanismo Alternativo de Transferência”), caso em que o Mecanismo Alternativo de Transferência se aplicará em vez disso (mas apenas na medida em que tal Mecanismo Alternativo de Transferência se estenda aos territórios para os quais os Dados Pessoais são transferidos).

Parte B: Obrigações do GDPR a partir de 25 de maio de 2018

9. Segurança Adicional

9.1 Confidencialidade do processamento. A PushEngage garantirá que qualquer pessoa autorizada pela PushEngage a processar Dados do Cliente (incluindo seus funcionários, agentes e subcontratados) esteja sujeita a uma obrigação apropriada de confidencialidade (seja um dever contratual ou estatutário).

9.2 Resposta a Incidentes de Segurança. Ao tomar conhecimento de um Incidente de Segurança, a PushEngage notificará o Cliente sem demora indevida e fornecerá informações oportunas relacionadas ao Incidente de Segurança à medida que forem conhecidas ou conforme razoavelmente solicitado pelo Cliente.

10. Alterações nos Subprocessadores

10.1 A PushEngage (i) fornecerá uma lista atualizada dos Subprocessadores que nomeou mediante solicitação por escrito do Cliente; e (ii) notificará o Cliente (para o qual o e-mail será suficiente) se adicionar ou remover Subprocessadores com pelo menos 10 dias de antecedência a quaisquer alterações.

10.2 O Cliente poderá se opor por escrito à nomeação de um novo Subprocessador pela PushEngage dentro de trinta (30) dias corridos de tal notificação, desde que tal objeção seja baseada em motivos razoáveis relacionados à proteção de dados. Nesse caso, as partes discutirão tais preocupações de boa fé com o objetivo de alcançar uma resolução. Se isso não for possível, o Cliente poderá suspender ou rescindir o Contrato (sem prejuízo de quaisquer taxas incorridas pelo Cliente antes da suspensão ou rescisão).

11. Retorno ou Exclusão de Dados

11.1 Após a rescisão ou expiração do Contrato, a PushEngage (a critério do Cliente) excluirá ou devolverá ao Cliente todos os Dados do Cliente (incluindo cópias) em sua posse ou controle, ressalvado que esta exigência não se aplicará na medida em que a PushEngage seja obrigada pela lei aplicável a reter parte ou a totalidade dos Dados do Cliente, ou a Dados do Cliente que tenha arquivado em sistemas de backup, os quais Dados do Cliente a PushEngage deverá isolar e proteger de forma segura de qualquer processamento adicional, exceto na medida exigida pela lei aplicável.

12. Cooperação

12.1 Os Serviços fornecem ao Cliente uma série de controles que o Cliente pode usar para recuperar, corrigir, excluir ou restringir Dados do Cliente, que o Cliente pode usar para auxiliá-lo em conexão com suas obrigações sob o GDPR, incluindo suas obrigações relativas à resposta a solicitações de titulares de dados ou autoridades de proteção de dados aplicáveis. Na medida em que o Cliente não consiga acessar independentemente os Dados do Cliente relevantes nos Serviços, a PushEngage (às custas do Cliente) fornecerá cooperação razoável para auxiliar o Cliente a responder a quaisquer solicitações de indivíduos ou autoridades de proteção de dados aplicáveis relativas ao processamento de Dados Pessoais sob o Acordo. No caso de qualquer solicitação dessa natureza ser feita diretamente à PushEngage, a PushEngage não responderá a tal comunicação diretamente sem a autorização prévia do Cliente, a menos que seja legalmente obrigada a fazê-lo. Se a PushEngage for obrigada a responder a tal solicitação, a PushEngage notificará prontamente o Cliente e fornecerá uma cópia da solicitação, a menos que seja legalmente proibida de fazê-lo.

12.2 Se uma agência de aplicação da lei enviar à PushEngage uma demanda por Dados do Cliente (por exemplo, por meio de intimação ou ordem judicial), a PushEngage tentará redirecionar a agência de aplicação da lei para solicitar esses dados diretamente do Cliente. Como parte desse esforço, a PushEngage pode fornecer as informações de contato básicas do Cliente à agência de aplicação da lei. Se for obrigada a divulgar Dados do Cliente a uma agência de aplicação da lei, a PushEngage dará ao Cliente um aviso razoável da demanda para permitir que o Cliente busque uma ordem de proteção ou outro recurso apropriado, a menos que a PushEngage seja legalmente proibida de fazê-lo.

12.3 Na medida em que a PushEngage for obrigada pela Lei de Proteção de Dados da UE, a PushEngage (às custas do Cliente) fornecerá informações razoavelmente solicitadas sobre os Serviços para permitir que o Cliente realize avaliações de impacto de proteção de dados ou consultas prévias com autoridades de proteção de dados, conforme exigido por lei.

ANEXO A – Lista de Subprocessadores da PushEngage

A PushEngage usa suas Afiliadas e uma variedade de Subprocessadores terceirizados para auxiliá-la na prestação dos Serviços (conforme descrito no Acordo). Esses Subprocessadores listados abaixo fornecem serviços de hospedagem e armazenamento em nuvem; serviços de entrega e revisão de conteúdo; auxiliam na prestação de suporte ao cliente; bem como serviços de rastreamento, resposta, diagnóstico e resolução de incidentes.
Subprocessadores usados por nós ao atuar como processador

Subprocessador	Propósito	Localização	Mais Comentários
Amazon Web Services	Serviço de Nuvem Seguro para Infraestrutura de Hospedagem e Bancos de Dados	EUA	https://aws.amazon.com/compliance/gdpr-center/

Anexo B – Medidas de Segurança

As Medidas de Segurança aplicáveis aos Serviços são descritas abaixo e aqui https://PushEngage.com/security/ (conforme atualizado de tempos em tempos de acordo com a Seção 6.2 deste DPA).

1. Programa de Segurança da Informação. A PushEngage manterá um programa de segurança da informação (incluindo a adoção e aplicação de políticas e procedimentos internos) projetado para (a) ajudar o Cliente a proteger os Dados do Cliente contra perda, acesso ou divulgação acidental ou ilegal, (b) identificar riscos razoavelmente previsíveis e internos à segurança e acesso não autorizado à Rede PushEngage, e (c) minimizar riscos de segurança, inclusive por meio de avaliação de riscos e testes regulares. A PushEngage designará um ou mais funcionários para coordenar e ser responsável pelo programa de segurança da informação. O programa de segurança da informação incluirá as seguintes medidas:

1.1 Segurança da Rede. A Rede PushEngage será acessível eletronicamente a funcionários, contratados e qualquer outra pessoa conforme necessário para fornecer os Serviços. A PushEngage manterá controles de acesso e políticas para gerenciar qual acesso é permitido à Rede PushEngage a partir de cada conexão de rede e usuário, incluindo o uso de firewalls ou tecnologia funcionalmente equivalente e controles de autenticação. A PushEngage manterá planos de ação corretiva e de resposta a incidentes para responder a ameaças de segurança potenciais.

1.2 Segurança Física

1.2.1 Controles de Acesso Físico. Componentes físicos da Rede PushEngage são abrigados em instalações discretas (as “Instalações”). Controles de barreira física são usados para impedir a entrada não autorizada nas Instalações, tanto no perímetro quanto nos pontos de acesso ao edifício. A passagem pelas barreiras físicas nas Instalações requer validação de controle de acesso eletrônico (por exemplo, sistemas de controle de acesso por cartão, etc.) ou validação por pessoal de segurança humano (por exemplo, serviço de vigilância contratado ou interno, recepcionista, etc.). Funcionários e contratados recebem crachás de identificação com foto que devem ser usados enquanto os funcionários e contratados estiverem em qualquer uma das Instalações. Visitantes devem fazer check-in com pessoal designado, devem apresentar identificação apropriada, recebem um crachá de visitante que deve ser usado enquanto o visitante estiver em qualquer uma das Instalações, e são continuamente escoltados por funcionários ou contratados autorizados durante as visitas às Instalações.

1.2.2 Acesso Limitado a Funcionários e Contratados. A PushEngage fornece acesso às Instalações aos funcionários e contratados que tenham uma necessidade comercial legítima para tais privilégios de acesso. Quando um funcionário ou contratado não tiver mais uma necessidade comercial para os privilégios de acesso atribuídos a ele/ela, os privilégios de acesso são prontamente revogados, mesmo que o funcionário ou contratado continue sendo um funcionário da PushEngage ou de suas afiliadas.

1.2.3 Proteções Físicas de Segurança. Todos os pontos de acesso (exceto as portas de entrada principais) são mantidos em estado seguro (trancado). Os pontos de acesso às Instalações são monitorados por câmeras de vigilância por vídeo projetadas para gravar todos os indivíduos que acessam as Instalações. A PushEngage também mantém sistemas eletrônicos de detecção de intrusão projetados para detectar acesso não autorizado às Instalações, incluindo o monitoramento de pontos de vulnerabilidade (por exemplo, portas de entrada principais, portas de saída de emergência, escotilhas do telhado, portas de doca, etc.) com contatos de porta, dispositivos de quebra de vidro, detecção de movimento interior ou outros dispositivos projetados para detectar indivíduos que tentam obter acesso às Instalações. Todo o acesso físico às Instalações por funcionários e contratados é registrado e auditado rotineiramente.

2. Avaliação Contínua. A PushEngage realizará revisões periódicas da segurança de sua Rede PushEngage e da adequação de seu programa de segurança da informação, conforme medido em relação aos padrões de segurança da indústria e suas políticas e procedimentos. A PushEngage avaliará continuamente a segurança de sua Rede PushEngage e Serviços associados para determinar se medidas de segurança adicionais ou diferentes são necessárias para responder a novos riscos de segurança ou descobertas geradas pelas revisões periódicas.

Anexo C – Cláusulas Contratuais Padrão

Para os fins do Artigo 26(2) da Diretiva 95/46/CE para a transferência de dados pessoais para processadores estabelecidos em países terceiros que não garantem um nível adequado de proteção de dados

A entidade identificada como “Cliente” no Adendo (o “exportador de dados”) e a PushEngage (o “importador de dados”), cada uma “parte”; juntas “as partes”,

CONCORDARAM com as seguintes Cláusulas Contratuais (as Cláusulas) a fim de fornecer salvaguardas adequadas com respeito à proteção da privacidade e dos direitos e liberdades fundamentais dos indivíduos para a transferência pelo exportador de dados para o importador de dados dos dados pessoais especificados no Apêndice 1.

Cláusula 1

Definições

Para os fins das Cláusulas:

•  ‘dados pessoais’, ‘categorias especiais de dados’, ‘processar/processamento’, ‘controlador’, ‘processador’, ‘titular dos dados’ e ‘autoridade supervisora’ terão o mesmo significado que na Diretiva 95/46/CE do Parlamento Europeu e do Conselho de 24 de outubro de 1995 relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados;
• ‘o exportador de dados’ significa o controlador que transfere os dados pessoais;
• ‘o importador de dados’ significa o processador que concorda em receber do exportador de dados dados pessoais destinados ao processamento em seu nome após a transferência de acordo com suas instruções e os termos das Cláusulas e que não está sujeito a um sistema de país terceiro que garanta proteção adequada no sentido do Artigo 25(1) da Diretiva 95/46/CE;
• ‘o subcontratado’ significa qualquer processador contratado pelo importador de dados ou por qualquer outro subcontratado do importador de dados que concorde em receber do importador de dados ou de qualquer outro subcontratado do importador de dados dados pessoais exclusivamente destinados a atividades de processamento a serem realizadas em nome do exportador de dados após a transferência, de acordo com as suas instruções, os termos das Cláusulas e os termos do contrato de subcontratação por escrito;
• ‘a lei de proteção de dados aplicável’ significa a legislação que protege os direitos fundamentais e as liberdades dos indivíduos e, em particular, o seu direito à privacidade em relação ao processamento de dados pessoais aplicável a um controlador de dados no Estado-Membro em que o exportador de dados está estabelecido;
• ‘medidas técnicas e organizacionais de segurança’ significa as medidas destinadas a proteger os dados pessoais contra destruição acidental ou ilícita ou perda acidental, alteração, divulgação ou acesso não autorizado, em particular quando o processamento envolve a transmissão de dados através de uma rede, e contra todas as outras formas ilícitas de processamento.

Cláusula 2

Detalhes da transferência

Os detalhes da transferência e, em particular, as categorias especiais de dados pessoais, quando aplicável, são especificados no Apêndice 1, que faz parte integrante das Cláusulas.

Cláusula 3

Cláusula de terceiro beneficiário

• O titular dos dados pode exigir do exportador de dados o cumprimento desta Cláusula, das Cláusulas 4(b) a (i), 5(a) a (e) e (g) a (j), 6(1) e (2), 7, 8(2) e das Cláusulas 9 a 12 como terceiro beneficiário.
• O titular dos dados pode exigir do importador de dados o cumprimento desta Cláusula, das Cláusulas 5(a) a (e) e (g), 6, 7, 8(2) e das Cláusulas 9 a 12, nos casos em que o exportador de dados tenha desaparecido de fato ou deixado de existir legalmente, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados por contrato ou por força da lei, como resultado do qual assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode exigi-los dessa entidade.
• O titular dos dados pode exigir do subcontratado o cumprimento desta Cláusula, das Cláusulas 5(a) a (e) e (g), 6, 7, 8(2) e das Cláusulas 9 a 12, nos casos em que tanto o exportador de dados quanto o importador de dados tenham desaparecido de fato ou deixado de existir legalmente ou tenham se tornado insolventes, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados por contrato ou por força da lei, como resultado do qual assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode exigi-los dessa entidade. Tal responsabilidade de terceiro do subcontratado será limitada às suas próprias operações de processamento ao abrigo das Cláusulas.
• As partes não se opõem a que um titular de dados seja representado por uma associação ou outro organismo, se o titular de dados assim o desejar expressamente e se permitido pela lei nacional.

Cláusula 4

Obrigações do exportador de dados

O exportador de dados concorda e garante:

• que o processamento, incluindo a transferência em si, dos dados pessoais foi e continuará a ser realizado em conformidade com as disposições relevantes da lei de proteção de dados aplicável (e, quando aplicável, foi notificado às autoridades relevantes do Estado-Membro onde o exportador de dados está estabelecido) e não viola as disposições relevantes desse Estado;
•  que instruiu e durante toda a duração dos serviços de processamento de dados pessoais instruirá o importador de dados a processar os dados pessoais transferidos apenas em nome do exportador de dados e em conformidade com a lei de proteção de dados aplicável e as Cláusulas;
• que o importador de dados fornecerá garantias suficientes em relação às medidas de segurança técnicas e organizacionais especificadas no Apêndice 2 deste contrato;
• que, após a avaliação dos requisitos da lei de proteção de dados aplicável, as medidas de segurança são apropriadas para proteger os dados pessoais contra destruição acidental ou ilícita ou perda acidental, alteração, divulgação ou acesso não autorizado, em particular quando o processamento envolve a transmissão de dados através de uma rede, e contra todas as outras formas ilícitas de processamento, e que essas medidas garantem um nível de segurança apropriado aos riscos apresentados pelo processamento e à natureza dos dados a serem protegidos, tendo em conta o estado da arte e o custo de sua implementação;
• que garantirá a conformidade com as medidas de segurança;
• que, se a transferência envolver categorias especiais de dados, o titular dos dados foi informado ou será informado antes, ou o mais rápido possível após, a transferência de que seus dados podem ser transmitidos a um país terceiro que não oferece proteção adequada no sentido da Diretiva 95/46/CE;
• encaminhar qualquer notificação recebida do importador de dados ou de qualquer subcontratado nos termos da Cláusula 5(b) e da Cláusula 8(3) à autoridade supervisora de proteção de dados, caso o exportador de dados decida continuar a transferência ou levantar a suspensão;
• disponibilizar aos titulares dos dados, mediante solicitação, uma cópia das Cláusulas, com exceção do Apêndice 2, e uma descrição resumida das medidas de segurança, bem como uma cópia de qualquer contrato de serviços de subcontratação que deva ser feito de acordo com as Cláusulas, a menos que as Cláusulas ou o contrato contenham informações comerciais, caso em que poderá remover tais informações comerciais;
• que, em caso de subcontratação, a atividade de processamento é realizada de acordo com a Cláusula 11 por um subcontratado que forneça pelo menos o mesmo nível de proteção para os dados pessoais e os direitos do titular dos dados que o importador de dados nos termos das Cláusulas; e
• que garantirá a conformidade com a Cláusula 4(a) a (i).

Cláusula 5

Obrigações do importador de dados

O importador de dados concorda e garante:

• processar os dados pessoais apenas em nome do exportador de dados e em conformidade com suas instruções e as Cláusulas; se não puder fornecer tal conformidade por qualquer motivo, concorda em informar prontamente o exportador de dados sobre sua incapacidade de cumprir, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou rescindir o contrato;
• que não tem motivos para acreditar que a legislação aplicável a ele o impede de cumprir as instruções recebidas do exportador de dados e suas obrigações sob o contrato e que, em caso de alteração nesta legislação que seja provável de ter um efeito adverso substancial nas garantias e obrigações fornecidas pelas Cláusulas, notificará prontamente a alteração ao exportador de dados assim que tiver conhecimento, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou rescindir o contrato;
• que implementou as medidas de segurança técnicas e organizacionais especificadas no Apêndice 2 antes de processar os dados pessoais transferidos;
• que notificará prontamente o exportador de dados sobre:
• qualquer solicitação legalmente vinculativa para divulgação dos dados pessoais por uma autoridade policial, a menos que de outra forma proibido, como uma proibição sob a lei criminal para preservar a confidencialidade de uma investigação policial,
• qualquer acesso acidental ou não autorizado, e
• qualquer solicitação recebida diretamente dos titulares dos dados sem responder a essa solicitação, a menos que tenha sido de outra forma autorizado a fazê-lo;
• lidar prontamente e adequadamente com todas as consultas do exportador de dados relativas ao processamento dos dados pessoais sujeitos à transferência e cumprir os conselhos da autoridade supervisora com relação ao processamento dos dados transferidos;
• a pedido do exportador de dados, submeter suas instalações de processamento de dados para auditoria das atividades de processamento cobertas pelas Cláusulas, que será realizada pelo exportador de dados ou por um órgão de inspeção composto por membros independentes e na posse das qualificações profissionais necessárias, vinculado por um dever de confidencialidade, selecionado pelo exportador de dados, quando aplicável, em acordo com a autoridade supervisora;
• disponibilizar ao titular dos dados, mediante solicitação, uma cópia das Cláusulas, ou qualquer contrato existente para subcontratação, a menos que as Cláusulas ou o contrato contenham informações comerciais, caso em que pode remover tais informações comerciais, com exceção do Apêndice 2, que será substituído por uma descrição resumida das medidas de segurança nos casos em que o titular dos dados não consiga obter uma cópia do exportador de dados;
• que, em caso de subcontratação, informou previamente o exportador de dados e obteve seu consentimento prévio por escrito;
• que os serviços de processamento pelo subcontratado serão realizados de acordo com a Cláusula 11;
• enviar prontamente uma cópia de qualquer contrato de subcontratação que celebre sob as Cláusulas ao exportador de dados.

Requisitos obrigatórios da legislação nacional aplicável ao importador de dados que não vão além do que é necessário numa sociedade democrática com base num dos interesses enumerados no Artigo 13.º(1) da Diretiva 95/46/CE, ou seja, se constituírem uma medida necessária para salvaguardar a segurança nacional, a defesa, a segurança pública, a prevenção, investigação, deteção e repressão de infrações penais ou de violações de ética para as profissões regulamentadas, um interesse económico ou financeiro importante do Estado ou a proteção do titular dos dados ou dos direitos e liberdades de terceiros, não contrariam as cláusulas contratuais padrão. Alguns exemplos de tais requisitos obrigatórios que não vão além do que é necessário numa sociedade democrática são, inter alia, sanções internacionalmente reconhecidas, requisitos de declaração fiscal ou requisitos de declaração de combate à lavagem de dinheiro.

Cláusula 6

Responsabilidade

1. As partes concordam que qualquer titular de dados que tenha sofrido danos em resultado de qualquer violação das obrigações referidas na Cláusula 3 ou na Cláusula 11 por qualquer parte ou subcontratado tem o direito de receber indemnização do exportador de dados pelos danos sofridos.
2. Se um titular de dados não puder intentar uma ação de indemnização nos termos do parágrafo 1 contra o exportador de dados, decorrente de uma violação pelo importador de dados ou pelo seu subcontratado de qualquer das suas obrigações referidas na Cláusula 3 ou na Cláusula 11, porque o exportador de dados desapareceu de facto ou deixou de existir legalmente ou tornou-se insolvente, o importador de dados concorda que o titular de dados pode intentar uma ação contra o importador de dados como se este fosse o exportador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados por contrato ou por força da lei, caso em que o titular de dados pode fazer valer os seus direitos contra essa entidade. O importador de dados não pode invocar uma violação pelo subcontratado das suas obrigações para evitar as suas próprias responsabilidades.
3. Se um titular de dados não puder intentar uma ação contra o exportador de dados ou o importador de dados referidos nos parágrafos 1 e 2, decorrente de uma violação pelo subcontratado de qualquer das suas obrigações referidas na Cláusula 3 ou na Cláusula 11, porque tanto o exportador de dados como o importador de dados desapareceram de facto ou deixaram de existir legalmente ou tornaram-se insolventes, o subcontratado concorda que o titular de dados pode intentar uma ação contra o subcontratado relativamente às suas próprias operações de processamento ao abrigo das Cláusulas como se este fosse o exportador de dados ou o importador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados ou do importador de dados por contrato ou por força da lei, caso em que o titular de dados pode fazer valer os seus direitos contra essa entidade. A responsabilidade do subcontratado limitar-se-á às suas próprias operações de processamento ao abrigo das Cláusulas.

Cláusula 7

Mediação e jurisdição

1. O importador de dados concorda que, se o titular dos dados invocar contra ele direitos de terceiro beneficiário e/ou solicitar indenização por danos nos termos das Cláusulas, o importador de dados aceitará a decisão do titular dos dados:

• encaminhar a disputa para mediação, por uma pessoa independente ou, quando aplicável, pela autoridade supervisora;
• encaminhar a disputa para os tribunais do Estado-Membro em que o exportador de dados está estabelecido.

As partes concordam que a escolha feita pelo titular dos dados não prejudicará seus direitos substantivos ou processuais de buscar recursos de acordo com outras disposições da lei nacional ou internacional.

Cláusula 8

Cooperação com autoridades supervisoras

1. O exportador de dados concorda em depositar uma cópia deste contrato na autoridade supervisora, se esta assim o solicitar ou se tal depósito for exigido pela lei de proteção de dados aplicável.
2. As partes concordam que a autoridade supervisora tem o direito de realizar uma auditoria do importador de dados e de qualquer subcontratado, que terá o mesmo escopo e estará sujeita às mesmas condições que se aplicariam a uma auditoria do exportador de dados nos termos da lei de proteção de dados aplicável.
3. O importador de dados informará prontamente o exportador de dados sobre a existência de legislação aplicável a ele ou a qualquer subcontratado que impeça a realização de uma auditoria do importador de dados, ou de qualquer subcontratado, nos termos do parágrafo 2. Nesse caso, o exportador de dados terá o direito de tomar as medidas previstas na Cláusula 5 (b).

Cláusula 9

Lei Aplicável

As Cláusulas serão regidas pela lei do Estado-Membro em que o exportador de dados está estabelecido.

Cláusula 10

Variação do contrato

As partes se comprometem a não variar ou modificar as Cláusulas. Isso não impede que as partes adicionem cláusulas sobre questões relacionadas a negócios, quando necessário, desde que não contradigam a Cláusula.

Cláusula 11

Subcontratação

1. O importador de dados não subcontratará nenhuma de suas operações de processamento realizadas em nome do exportador de dados nos termos das Cláusulas sem o consentimento prévio por escrito do exportador de dados. Quando o importador de dados subcontratar suas obrigações nos termos das Cláusulas, com o consentimento do exportador de dados, ele o fará somente por meio de um acordo por escrito com o subcontratado que imponha as mesmas obrigações ao subcontratado que são impostas ao importador de dados nos termos das Cláusulas. Quando o subcontratado falhar em cumprir suas obrigações de proteção de dados nos termos de tal acordo por escrito, o importador de dados permanecerá totalmente responsável perante o exportador de dados pelo cumprimento das obrigações do subcontratado nos termos de tal acordo.
2. O contrato escrito anterior entre o importador de dados e o subcontratado também deverá prever uma cláusula de terceiro beneficiário, conforme estabelecido na Cláusula 3, para os casos em que o titular dos dados não possa mover a ação de indenização referida no parágrafo 1 da Cláusula 6 contra o exportador de dados ou o importador de dados porque eles desapareceram de fato ou deixaram de existir legalmente ou se tornaram insolventes e nenhuma entidade sucessora assumiu integralmente as obrigações legais do exportador de dados ou do importador de dados por contrato ou por força de lei. Tal responsabilidade de terceiro do subcontratado será limitada às suas próprias operações de processamento sob as Cláusulas.
3. As disposições relativas aos aspetos de proteção de dados para o subcontrato do contrato referido no parágrafo 1 serão regidas pela lei do Estado-Membro em que o exportador de dados está estabelecido.
4. O exportador de dados manterá uma lista de acordos de subcontratação celebrados ao abrigo das Cláusulas e notificados pelo importador de dados nos termos da Cláusula 5 (j), que será atualizada pelo menos uma vez por ano. A lista estará disponível para a autoridade de supervisão de proteção de dados do exportador de dados.

Cláusula 12

Obrigação após a rescisão dos serviços de processamento de dados pessoais

1. As partes concordam que, com a rescisão da prestação de serviços de processamento de dados, o importador de dados e o subcontratado deverão, à escolha do exportador de dados, devolver todos os dados pessoais transferidos e as suas cópias ao exportador de dados ou destruir todos os dados pessoais e certificar ao exportador de dados que o fez, a menos que a legislação imposta ao importador de dados o impeça de devolver ou destruir total ou parcialmente os dados pessoais transferidos. Nesse caso, o importador de dados garante que garantirá a confidencialidade dos dados pessoais transferidos e não processará ativamente os dados pessoais transferidos.
2. O importador de dados e o subcontratado garantem que, mediante solicitação do exportador de dados e/ou da autoridade de supervisão, submeterão as suas instalações de processamento de dados a uma auditoria das medidas referidas no parágrafo 1.

APÊNDICE 1 ÀS CLÁUSULAS CONTRATUAIS PADRÃO

Exportador de dados

O exportador de dados é a entidade identificada como “Cliente” no Adendo.

Importador de dados

O importador de dados é a PushEngage, uma provedora de serviços web.

Titulares dos dados

Os titulares dos dados incluem os clientes e usuários finais do exportador de dados.

Categorias de dados

Os dados pessoais relativos a indivíduos que são carregados nos Serviços PushEngage pelo exportador de dados.

Operações de processamento

Os dados pessoais transferidos estarão sujeitos às seguintes atividades básicas de processamento (conforme aplicável):

Computação, Armazenamento e Entrega de Conteúdo na Rede PushEngage

APÊNDICE 2 ÀS CLÁUSULAS CONTRATUAIS PADRÃO

Este Apêndice faz parte das Cláusulas e deve ser preenchido e assinado pelas partes. Ao assinar a página de assinatura na página 1 deste Adendo, as partes serão consideradas como tendo assinado este Apêndice 2.

Descrição das medidas de segurança técnicas e organizacionais implementadas pelo importador de dados em conformidade com as Cláusulas 4(d) e 5(c) (ou documento/legislação anexa):

As medidas de segurança técnicas e organizacionais implementadas pelo importador de dados são as descritas no Adendo.

Última atualização: 24 de dezembro de 2025