Acordo de processamento de dados

Este Acordo de Processamento de Dados (“DPA“) é incorporado e faz parte dos Termos de Serviço da Adapty (conforme definido abaixo) celebrado entre o Cliente e a Adapty que rege o uso do Cliente e a prestação de Serviços pela Adapty.

O Cliente e a Adapty são aqui referidos conjuntamente como as “Partes” e individualmente como a “Parte“. Os detalhes das Partes estão especificados no Anexo 1.

Em caso de qualquer conflito ou inconsistência com os termos dos Termos de Serviço da Adapty, este DPA terá precedência sobre outros termos em Termos de Serviço da Adapty na medida do conflito ou inconsistência.

Os termos em maiúsculas não definidos de outra forma neste documento terão o significado dado a eles nos Termos de Serviço da Adapty.

FUNDAMENTO
O DPA, incluindo todos os Anexos, especifica as obrigações de proteção de dados das Partes em relação aos Dados Pessoais Processados pela Adapty em nome do Cliente conforme descrito no Anexo 1 deste DPA de acordo com a Lei de Privacidade Aplicável.

1.1. Termos de Serviço da Adapty significa termos de serviço disponíveis em https://adapty.io/terms/ ou qualquer outro acordo escrito ou eletrônico entre o Cliente e a Adapty.

1.2. Lei de Privacidade Aplicável significa todas as leis, estatutos, regulamentos, ordens, códigos, regras, orientações, ordens ou qualquer outro direito legal emitido por qualquer entidade governamental que rege a coleta, uso, transferência e divulgação de Dados Pessoais.

1.3. Controlador de Dados significa a pessoa natural ou entidade que determina os propósitos e os meios do Processamento de Dados Pessoais ou que, de outra forma, está responsável por tomar decisões sobre o processamento de Dados Pessoais.

1.4. Processador de Dados significa uma pessoa física ou jurídica, ou outro órgão que Processa Dados Pessoais em nome do Controlador.

1.5. Solicitação de Titular de Dados terá o significado atribuído na cláusula 3.2 deste DPA.

1.6. Titular de Dados significa a pessoa identificada ou identificável, direta ou indiretamente, a quem os Dados Pessoais se referem.

1.7. GDPR significa Regulamento do Parlamento Europeu e do Conselho da UE No. 2016/679 sobre a proteção de pessoas naturais no que diz respeito ao Processamento de Dados Pessoais e sobre a livre circulação desses dados, e revogando a Diretiva 95/46/CE.

1.8. UK GDPR significa a versão da lei da UE retida do Regulamento Geral de Proteção de Dados ((UE) 2016/679) (UE GDPR) conforme ela faz parte da legislação da Inglaterra e País de Gales, Escócia e Irlanda do Norte por virtude da seção 3 da Lei de Retirada da União Europeia de 2018 e conforme emendada pelo Anexo 1 do Regulamento de Proteção de Dados, Privacidade e Comunicações Eletrônicas (Emendas, etc) (Saída da UE) de 2019 (SI 2019/419).

1.9. Dados Pessoais significa qualquer informação que se relacione a uma pessoa natural identificada ou identificável e seja regulada pela Lei de Privacidade Aplicável fornecida pelo Cliente para Processamento u, incluindo informações sobre um indivíduo identificado ou identificável.

1.10. Violação de Dados Pessoais terá o significado dado na cláusula 6.1 deste DPA.

1.11. Processamento, processos, e processo significam qualquer atividade que envolve o uso de Dados Pessoais ou como a Lei de Privacidade Aplicável pode de outra forma definir processamento, processos ou processo. Inclui qualquer operação ou conjunto de operações que são realizadas sobre dados pessoais ou sobre conjuntos de dados pessoais, independentemente de serem ou não por meios automatizados, como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou de outra forma disponibilização, alinhamento ou combinação, restrição, exclusão ou destruição. O Processamento também inclui a transferência de Dados Pessoais para terceiros.

1.12. Cláusulas Contratuais Padrão (SCC) significa as cláusulas contratuais padrão aprovadas pela Comissão Europeia (conforme atualizado, emendado, substituído ou superado de tempos em tempos pela Comissão Europeia.). Se a Comissão Europeia substituir as Cláusulas Contratuais Padrão por cláusulas contratuais padrão emendadas ou novas, então, na medida em que a autoridade supervisora relevante aprovar o uso de tais cláusulas contratuais padrão emendadas ou novas, as referências aqui feitas a “Cláusulas Contratuais Padrão” serão lidas como referindo-se a tais cláusulas contratuais padrão emendadas ou novas.

1.13. Sub-processador significa processador de dados de terceiros contratado pela Adapty, que tem ou potencialmente terá acesso a, ou processa Dados Pessoais.

1.14. Aviso de Mudança de Sub-processador terá o significado dado na cláusula 4.1 deste DPA.

2.1. Funções das Partes. As Partes reconhecem e concordam que, em relação ao Processamento de Dados Pessoais, o Cliente é o Controlador e a Adapty é o Processador.

2.2. Detalhes do Processamento de Dados. O objeto, duração, natureza e propósito(s) do processamento de Dados Pessoais, bem como o tipo de Dados Pessoais e categorias de Titulares de Dados, estão especificados no Anexo 1.

2.3. Escopo do Processamento. A Adapty deve abster-se de processar Dados Pessoais que estejam além do escopo estabelecido nas instruções documentadas, razoáveis e habituais do Cliente, conforme especificado nos Termos de Serviço da Adapty ou neste DPA, a menos que tal Processamento seja exigido por leis aplicáveis às quais a Adapty está sujeita.

2.4. Instruções do Cliente. As instruções do Cliente para o Processamento de Dados Pessoais devem estar em conformidade com a Lei de Privacidade Aplicável. O Cliente terá total responsabilidade pela precisão, qualidade e legalidade dos Dados Pessoais e os meios pelos quais o Cliente adquiriu os Dados Pessoais. Sem limitação, o Cliente será o único responsável por garantir que possui uma base legal apropriada e direito para permitir o Processamento de Dados Pessoais de acordo com os termos dos Termos de Serviço da Adapty e deste DPA. O Cliente reconhece e concorda especificamente que seu uso dos Serviços não violará os direitos de qualquer Titular de Dados.

2.5. Base legal do processamento. O Cliente reconhece e concorda que os Serviços da Adapty dependem e são baseados em uma base legal demonstrada, que será obtida pelo Cliente e da qual a Adapty depende. O Cliente declara que tal base legal existe.

2.6. Privacidade das Crianças. Ao Processar Dados Pessoais de crianças (como descrito na Lei de Privacidade Aplicável), o Cliente é obrigado a cumprir requisitos adicionais definidos por políticas da plataforma, regulamentos e Lei de Privacidade Aplicável projetados para proteger crianças. Algumas dessas leis são especificamente focadas em crianças (como a COPPA), enquanto outras são mais amplas, mas incluem proteções específicas para crianças (como o GDPR e leis regionais similares).

3.1. Respostas a Solicitações de Titulares de Dados. O Cliente será o único responsável pelo cumprimento de quaisquer obrigações estatutárias relacionadas a solicitações para exercer os direitos dos Titulares de Dados sob a Lei de Privacidade Aplicável. As Partes concordam e reconhecem que a Adapty não tem a capacidade de responder a Solicitações de Titulares de Dados.

3.2. Solicitações do Titular de Dados. A Adapty irá, na medida em que for legalmente permitida, notificar prontamente o Cliente se receber quaisquer solicitações de um Titular de Dados para exercer os direitos do Titular de Dados de acordo com a Lei de Privacidade Aplicável (cada uma, uma “Solicitação de Titular de Dados”).
A cooperação na implementação dos direitos do Titular de Dados. A Adapty fornecerá assistência razoável e oportuna (incluindo por meio de medidas técnicas e organizacionais adequadas) ao Cliente para possibilitar que o Cliente responda aos Dados.

3.3. Solicitação de Titular. Se o Cliente solicitar à Adapty ajuda para responder a qualquer solicitação, a Adapty se esforçará, na medida do possível, para fornecer esforços comercialmente razoáveis para ajudar o Cliente a responder a tal solicitação, desde que a Adapty esteja legalmente autorizada a fazê-lo e que a resposta a tal solicitação seja exigida pela Lei de Privacidade Aplicável.

3.4. Custos. Na medida em que for legalmente permitida, o Cliente será responsável por quaisquer custos decorrentes da prestação de tal assistência pela Adapty, incluindo quaisquer taxas associadas à provisão de funcionalidade adicional. Nesses casos, a Adapty o notificará sobre esses custos com antecedência.

4.1. Nomeação do Subprocessador. O Cliente autoriza a Adapty a nomear Subprocessadores de acordo com esta seção e quaisquer restrições no DPA. O Cliente reconhece e concorda que a Adapty pode contratar Subprocessadores sem o consentimento prévio do Cliente. Como condição para permitir que um Subprocessador de terceiros processe Dados Pessoais, a Adapty celebrará um acordo por escrito com cada Subprocessador contendo obrigações de proteção de dados que garantam pelo menos o mesmo nível de proteção para os Dados Pessoais que aqueles deste DPA. A Adapty notificará o Cliente por escrito sobre quaisquer mudanças pretendidas relacionadas à adição ou substituição de Subprocessadores antes de tais mudanças de Subprocessadores (o “ Aviso de Mudança de Subprocessador ”). O Cliente poderá se opor a tais mudanças do Subprocessador sob a cláusula 4.2 deste DPA.

4.2. Lista atual de Subprocessadores. A lista atual de Subprocessadores que a Adapty contrata para Processamento é fornecida no Anexo 3 deste DPA. Dentro de dez (10) dias de quaisquer mudanças relacionadas à adição ou substituição de Subprocessador, a Adapty atualizará a lista de Subprocessadores deste DPA.

4.3. Responsabilidade. Com relação a cada Subprocessador, a Adapty deverá: (i) tomar medidas razoáveis para garantir que o Subprocessador esteja comprometido em fornecer o nível de proteção para Dados Pessoais exigido pelo DPA e (ii) permanecer plenamente responsável perante o Cliente pelo desempenho das obrigações de proteção de dados do Subprocessador, caso o Subprocessador não cumpra tais obrigações.

4.4. Direito de objeção para Subprocessadores. O Cliente pode razoavelmente se opor a Adapty sobre quaisquer mudanças pretendidas relacionadas à adição ou substituição de Subprocessador (por exemplo, se a disponibilização de dados pessoais ao Subprocessador puder violar as Leis de Proteção de Dados Aplicáveis ou enfraquecer as proteções para tais dados pessoais) notificando a Adapty prontamente por escrito dentro de dez (10) dias após o recebimento do aviso de mudança do Subprocessador. Tal aviso do Cliente deverá explicar os motivos razoáveis para a objeção.
Caso o Cliente notifique a Adapty de tal objeção, as Partes discutirão a questão de boa fé com o intuito de alcançar uma resolução comercialmente razoável. Se tais objeções não puderem ser resolvidas dentro de quinze (15) dias, como o Processamento não pode continuar de forma adequada sem o engajamento de tal Subprocessador, a Adapty tem o direito de recusar o processamento futuro sob este DPA e encerrar os Termos de Serviço da Adapty sem responsabilidade por tal rescisão.

5.1. Transferência da UE. Na medida em que o processamento de Dados Pessoais é protegido pelo GDPR, as Partes concordam que tal transferência está sujeita às SCC, que estão incorporadas neste DPA por referência e representam uma parte integral deste. As opções e Anexos das SCCs são considerados preenchidos com base no Apêndice 4 deste DPA.

5.2. Transferências da Suíça. Na medida em que o processamento de Dados Pessoais é protegido pela Lei Federal da Suíça de 19 de junho de 1992 sobre Proteção de Dados (“FADP”), as Partes concordam que tal transferência está sujeita às SCC com as adaptações necessárias para que as SCCs cumpram a legislação suíça e, assim, sejam adequadas para garantir um nível de proteção adequado para transferências de dados da Suíça para um terceiro país, de acordo com o Artigo 6, parágrafo 2, letra a do FADP. A lista de adaptações é fornecida na cláusula 4.3. da transferência de dados pessoais para um país com nível inadequado de proteção de dados baseado em cláusulas contratuais padrão reconhecidas e contratos-modelo datados de 27 de agosto de 2021 pela Comissão Federal de Proteção de Dados e Informação (disponível em https://www.edoeb.admin.ch/edoeb/en/home/data-protection/handel-und-wirtschaft/transborder-data-flows.html). A Opção 2 do Caso 2 deverá ser aplicada.

5.3. Transferências do Reino Unido. Na medida em que o processamento de Dados Pessoais é protegido pelo UK GDPR, as Partes concordam que tal transferência está sujeita ao adendo internacional de transferência de dados às cláusulas contratuais padrão da Comissão Europeia para transferências internacionais de dados, disponível em https://ico.org.uk/media/for-organisations/documents/4019539/international-data-transfer-addendum.pdf, conforme adotado, modificado ou atualizado pelo Escritório do Comissário de Informação do Reino Unido, Parlamento ou Secretário de Estado.

6.1. Medidas técnicas e organizacionais. A Adapty deve implementar e manter as medidas técnicas e organizacionais apropriadas para garantir um nível adequado de segurança, confidencialidade e integridade dos Dados Pessoais, incluindo, conforme apropriado e aplicável, as medidas referidas no Artigo 32 do GDPR, conforme estabelecido no Anexo 2 deste DPA, para proteger os Dados Pessoais contra:

1. destruição acidental ou ilícita, e
2. perda, alteração, divulgação não autorizada ou acesso aos Dados Pessoais (cada um referido como a “Violação de Dados Pessoais”).

6.2. Controle de conformidade. A Adapty monitora regularmente a conformidade com as medidas previstas no Anexo 2 deste DPA.6.3. Assistência na garantia de conformidade. Levando em conta a natureza do Processamento e os Dados Pessoais disponíveis para a Adapty, a Adapty auxilia o Cliente a garantir a conformidade com as obrigações de acordo com os Artigos 32 a 36 do GDPR.

7.1. Notificação de Violação de Dados Pessoais. Se a Adapty tomar conhecimento de uma Violação de Dados Pessoais, a Adapty deverá, na medida do permitido pela lei, notificar o Cliente sem demora indevida via e-mail assim que a Adapty ou qualquer Subprocessador tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Cliente, e deverá fornecer informações razoáveis (na medida em que estejam razoavelmente em posse e/ou controle da Adapty).

7.2. Cooperação. A Adapty deverá fornecer cooperação levando em conta a natureza do Processamento e as informações disponíveis para a Adapty para auxiliar o Cliente a cumprir quaisquer obrigações de informar os Titulares de Dados ou autoridades de proteção de dados sobre a Violação de Dados Pessoais sob a Lei de Privacidade Aplicável. A Adapty deverá ainda tomar quaisquer medidas e ações razoavelmente necessárias para remediar ou mitigar os efeitos da Violação de Dados Pessoais e deverá manter o Cliente informado de todos os desenvolvimentos materiais em conexão com a Violação de Dados Pessoais.

8.1. Direito do Cliente de realizar uma auditoria. A Adapty torna disponível ao Cliente todas as informações razoavelmente necessárias para demonstrar conformidade com as obrigações estabelecidas neste DPA e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Cliente ou por outro auditor mandatado pelo Cliente, em relação ao cumprimento das obrigações sob este DPA.

8.2. Cooperação da Adapty na realização da auditoria. A Adapty deverá disponibilizar ao Cliente todas as informações, sistemas e pessoal razoavelmente necessários para que o Cliente ou seus auditores terceiros realizem tal auditoria, desde que o Cliente:

8.2.1. dê aviso prévio de quarenta e cinco (45) dias sobre as auditorias; e

8.2.2. conduza sua auditoria durante o horário comercial normal; e

8.2.3. adote todas as medidas razoáveis para evitar interrupções desnecessárias nas operações da Adapty. Tal auditoria deverá estar estritamente dentro do escopo das informações relacionadas ao Processamento de Dados Pessoais.

8.3. Parâmetros da auditoria. As Partes deverão concordar mutuamente sobre o escopo, timing e duração da auditoria ou inspeção.

8.4. Confidencialidade. Todas as auditorias sob este DPA estarão sujeitas às obrigações de confidencialidade. O Cliente deverá compartilhar o relatório completo da auditoria com a Adapty e não deverá compartilhá-lo com nenhum terceiro, exceto seus contadores e assessores jurídicos que estão vinculados à confidencialidade. O Cliente não deverá usar tal relatório de auditoria para qualquer outro propósito que não seja avaliar a conformidade da Adapty com este DPA.

8.5. Custos. O Cliente arcará com os custos de tal auditoria, a menos que acordado de outra forma pelas Partes.

8.6. Frequência da auditoria. O Cliente não exercerá seus direitos de auditoria mais de uma vez em qualquer período de doze (12) meses calendário, exceto:

8.6.1. se e quando exigido por instrução de uma autoridade competente de proteção de dados; ou

8.6.2. se for necessário devido a uma Violação de Dados Pessoais sofrida pela Adapty e (ou) Subprocessadores.

9.1. A Adapty tomará todas as medidas razoáveis para garantir a confiabilidade de qualquer funcionário autorizado a Processar Dados Pessoais e assegurar que tais funcionários estejam sujeitos a obrigações apropriadas de confidencialidade e em conformidade com a Lei de Privacidade Aplicável em todos os momentos.

10.1. No caso de (i) rescisão deste DPA, ou (ii) solicitação por escrito do Cliente, ou (iii) a Adapty não ser mais necessária para Processar Dados Pessoais a fim de cumprir suas obrigações sob os Termos de Serviço da Adapty e este DPA, ou (iv) recusa da Adapty em Processar sob a cláusula 4.4 deste DPA, a Adapty deverá, a critério do Cliente, excluir, destruir ou devolver todos os Dados Pessoais ao Cliente e destruir ou devolver quaisquer cópias existentes, exceto na medida em que a Adapty seja obrigada sob a Lei de Privacidade Aplicável a manter uma cópia dos Dados Pessoais por um período de tempo específico. Após o término desse período de retenção, a Adapty deverá imediatamente excluir ou destruir todos os Dados Pessoais restantes.

10.2. No caso de que Dados Pessoais tenham sido processados por quaisquer Sub-Processadores, a Adapty deverá garantir que, em casos especificados, tais Sub-Processadores também retornarão, excluirão ou destruirão todos os Dados Pessoais que possuam, de acordo com os termos estabelecidos nesta seção.

11.1. Os termos “Informações Pessoais”, “Consumidor” e outros termos em maiúsculas nesta seção 11 terão os significados estipulados na Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Code §§ 1798.100 et. Seq, conforme emenda ao longo do tempo (“CCPA”).

11.2. Fica aqui acordado que qualquer compartilhamento de Dados Pessoais entre as Partes é feito exclusivamente para cumprir um Propósito Empresarial e a Adapty não recebe ou processa nenhum Dado Pessoal como contraprestação pelos Serviços.

11.3. Portanto, o Cliente é o único responsável por sua conformidade com o CCPA em relação ao uso dos Serviços. É de responsabilidade e obrigação exclusiva do Cliente determinar se o compartilhamento ou a transferência de Dados Pessoais de Sujeitos de Dados durante o curso dos Serviços constitui uma Venda de Dados Pessoais.

11.4. A Adapty não reterá, usará ou divulgará Dados Pessoais para um propósito comercial diferente de fornecer os Serviços especificados nos Termos de Serviço da Adapty.

12.1. Este DPA terá eficácia a partir da data de vigência dos Termos de Serviço da Adapty. Este DPA permanecerá em vigor enquanto os Termos de Serviço da Adapty permanecerem em vigor.

13.1. Caso qualquer disposição deste DPA seja ou se torne, total ou parcialmente, nula, ineficaz ou inexequível, a validade, eficácia e exequibilidade das demais disposições deste DPA permanecerão inalteradas.

13.2. Qualquer disposição inválida, ineficaz ou inexequível será, na medida permitida pela lei, considerada substituída por uma disposição válida, eficaz e exequível que reflita mais de perto a intenção econômica e o propósito da disposição inválida, ineficaz ou inexequível em relação ao seu objeto, escala, tempo, lugar e escopo de aplicação.

13.3. A regra acima mencionada aplicará mutatis mutandis para preencher qualquer lacuna que possa ser encontrada neste DPA.

14.1. As partes declaram explicitamente que este DPA (incluindo os Anexos mencionados neste documento) e os documentos mencionados constituem o acordo integral entre as partes e substituem qualquer minuta, acordos, compromissos, entendimentos, condições e arranjos anteriores, não obstante qualquer ordem de precedência conflitante, de qualquer natureza entre as partes, quer esteja ou não por escrito, em relação ao objeto deste DPA.

15.1. O DPA será regido pela lei conforme estipulado nos Termos de Serviço da Adapty.

15.2. As Partes submetem-se à escolha da jurisdição estipulada no Acordo referente a quaisquer disputas ou reivindicações de qualquer forma surgidas sob este DPA, incluindo disputas sobre sua existência, validade ou rescisão ou as consequências de sua nulidade.

16.1. No caso de conflito ou ambiguidade entre:

16.1.1. qualquer disposição do DPA e qualquer disposição dos Termos de Serviço da Adapty, as disposições do DPA prevalecerão;

16.1.2. qualquer disposição deste Acordo e qualquer SCC executado, as disposições do SCC executado prevalecerão.

3. O Anexo IA dos SCCs deve ser considerado preenchido da seguinte forma:

• o Exportador de Dados é o Cliente e os detalhes do Exportador são os mesmos que os estabelecidos no Anexo 1 (Parte A) do DPA.
  Atividades relevantes para os dados transferidos sob o SCC: transferência de Dados Pessoais para o Importador de Dados a fim de permitir que o Importador de Dados forneça Serviços sob os Termos de Serviço da Adapty.
• o Importador de Dados é a Adapty e os detalhes da Adapty são os mesmos que os estabelecidos no Anexo 1 (Parte A) do DPA.
  Atividades relevantes para os dados transferidos sob o SCC: recebimento de Dados Pessoais do Exportador de Dados para fornecer Serviços sob os Termos de Serviço da Adapty.

4. O Anexo IB dos SCCs será o mesmo que Anexo 1 do DPA e, além disso, os seguintes detalhes estão incluídos para completar o Anexo IB: a frequência da transferência é contínua.

5. O Anexo IC é completado da seguinte forma: A Autoridade Supervisora da República da Irlanda.

6. O Anexo II dos SCCs será o mesmo que Anexo 2 do DPA.

7. O Anexo III dos SCCs será o mesmo que Anexo 3 do DPA.