Acordo de Processamento de Dados (DPA)

1.  CONTEXTO

1.1. O Cliente e a Birdie SSOT Corp. (“Birdie”, “nós”, “nos” ou “nosso”) concordaram em contratar um plano de preços que incorpora nossos termos e condições (em conjunto, o “Contrato”).
1.2.  Este Acordo de Processamento de Dados (“DPA”) é celebrado entre a Birdie e o Cliente (cada qual uma “Parte” e, em conjunto, as “Partes”), nos termos do Contrato.
1.3.  Caso tratemos Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente relativos a pessoas localizadas no Reino Unido ou no EEE, ou de qualquer Cliente estabelecido no Reino Unido ou no EEE, este DPA complementará o Contrato e se aplicará a esse tratamento. Em caso de conflito entre disposições deste DPA e do Contrato, prevalecerão as deste DPA.

2.     TRATAMENTO DE DADOS

2.1.  Cliente como Controlador. O Cliente e a Birdie reconhecem que, para fins das Leis de Proteção de Dados, o Cliente é o controlador e a Birdie é a operadora dos dados.

2.2.  Conformidade do Cliente. O Cliente mantém o controle dos dados pessoais e continua responsável por suas obrigações de conformidade como Controlador sob as Leis de Proteção de Dados aplicáveis, incluindo o fornecimento dos avisos e a obtenção dos consentimentos exigidos, bem como pelas instruções de tratamento fornecidas à Birdie.

2.3.  Natureza e finalidade do tratamento. O Anexo A descreve o objeto, a duração, a natureza e a finalidade do tratamento, bem como as categorias de dados pessoais e os tipos de titulares cujos dados a Birdie poderá tratar para fornecer os Serviços e cumprir suas obrigações contratuais.

2.4.   Instruções para o tratamento de dados.

(a) Trataremos Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente apenas conforme as instruções escritas do Cliente, salvo quando o tratamento for exigido por lei do Reino Unido, da União Europeia ou de Estado-Membro à qual estejamos sujeitos. Nesse caso, na medida permitida por essa lei, informaremos o Cliente sobre a exigência antes do tratamento. O Contrato e este DPA constituem as instruções completas e definitivas do Cliente sobre o tratamento desses dados.

(b) Cumpriremos as instruções escritas do Cliente para alterar, transferir, eliminar ou tratar de outra forma Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente, ou para interromper, mitigar ou remediar tratamento não autorizado, salvo proibição legal.

(c) Notificaremos o Cliente se, em nossa opinião, suas instruções não estiverem em conformidade com as Leis de Proteção de Dados.

2.5.  Tratamento adicional. O tratamento fora do escopo deste DPA ou do Contrato exigirá acordo escrito prévio entre o Cliente e nós quanto às instruções adicionais.

2.6.   Consentimento exigido. Quando exigido pelas Leis de Proteção de Dados aplicáveis, o Cliente garantirá que obteve ou obterá todos os consentimentos necessários para tratarmos Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente conforme o Contrato.

3.   TRANSFERÊNCIA DE DADOS PESSOAIS

3.1.  Suboperadores autorizados. O Cliente concorda com o uso dos Suboperadores indicados no Anexo B e concede consentimento geral para a nomeação de futuros Suboperadores.

(a) Não permitiremos, autorizaremos nem facilitaremos que Suboperadores tratem Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente sem celebrar com eles contrato escrito que imponha obrigações de tratamento substancialmente semelhantes às que nos são impostas por este DPA.

(b) Notificaremos periodicamente o Cliente sobre a identidade dos Suboperadores contratados e quaisquer alterações ou inclusões, antes de iniciarem o tratamento dos Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente.

(c) Se o Cliente, agindo razoavelmente, não aprovar um novo Suboperador, poderá solicitar que transfiramos os Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente a outro Suboperador. Em prazo razoável após o recebimento da solicitação, empregaremos todos os esforços razoáveis para garantir que o Suboperador em questão interrompa novos tratamentos e ajudaremos a identificar uma alternativa.

3.2.  Responsabilidade pelos Suboperadores. Permaneceremos sempre responsáveis pelo cumprimento de nossas obrigações sob este DPA e responderemos perante o Cliente pelos atos e omissões de qualquer Suboperador aprovado como se fossem nossos próprios atos e omissões, sujeitos aos termos do Contrato.

3.3.  Transferências de dados pessoais. Quando os Serviços envolverem a transferência de Dados Europeus à Operadora em país que não tenha sido considerado capaz de assegurar nível adequado de proteção sob as Leis Europeias de Proteção de Dados (“Decisão de Adequação”), aplicar-se-á o seguinte:

1. a) Para transferências para fora do Espaço Econômico Europeu, as Partes cumprirão as Cláusulas Contratuais-Padrão. Em caso de conflito entre essas cláusulas e este Aditivo de Processamento de Dados, prevalecerão as Cláusulas Contratuais-Padrão.
2. b) Para transferências para fora do Reino Unido, as Partes cumprirão as Cláusulas Contratuais-Padrão conforme alteradas pelo Aditivo do Reino Unido.
3. c) A pedido do Controlador, as Cláusulas Contratuais-Padrão serão substituídas, e as Partes celebrarão novas cláusulas-padrão para transferências a operadores em terceiros países adotadas nos termos do art. 46(2)(c) ou (d) do GDPR.
4. d) Se uma Decisão de Adequação for revogada ou suspensa, as alíneas a) e b) acima passarão a se aplicar automaticamente.
   
   

As Partes reconhecem que, após a celebração deste Aditivo, o Reino Unido poderá adotar novas cláusulas contratuais-padrão aprovadas que deverão ser celebradas pelas Partes (“Novas Cláusulas Aprovadas do Reino Unido”) e incorporadas a este Aditivo em substituição às Cláusulas Contratuais-Padrão alteradas pelo Aditivo do Reino Unido. Se adotadas, as Partes cooperarão de boa-fé e tempestivamente para cumprir os prazos formais de implementação, inclusive mediante os atos necessários, que poderão incluir a assinatura de documentos ou de aditivo a este instrumento, para dar efeito às novas cláusulas e garantir a conformidade com o GDPR do Reino Unido.

4.     SEGURANÇA DOS DADOS, AUDITORIAS E NOTIFICAÇÕES DE SEGURANÇA

4.1.   Obrigações de segurança da Birdie. Considerando o estado da técnica, os custos de implementação, a natureza, o escopo, o contexto e as finalidades do tratamento, bem como os riscos de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas naturais, implementaremos medidas técnicas, humanas e organizacionais adequadas para garantir segurança compatível com o risco, incluindo todas as medidas do Anexo C.

4.2. Conformidade. A pedido do Cliente, disponibilizaremos todas as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e com as Leis de Proteção de Dados.

4.3. Auditoria. A Birdie permitirá que o Cliente e seus representantes terceirizados (no máximo
uma vez por ano) auditem sua conformidade com as obrigações, mediante aviso prévio de pelo menos 60 dias durante a vigência do Contrato. A Birdie prestará apenas a assistência necessária para realizar essas auditorias.

4.4.   Notificação de incidente de segurança. Se nós ou qualquer Suboperador tomarmos conhecimento de um Incidente de Segurança: (a) notificaremos o Cliente em até 72 horas; (b) investigaremos o incidente e prestaremos a assistência razoável necessária ao Cliente e a autoridades policiais ou regulatórias para a investigação; e (c) adotaremos medidas para remediar qualquer descumprimento deste DPA.

4.5.   Funcionários e pessoal da Birdie. Trataremos os Dados de Usuários Autorizados e os
Dados de Usuários Finais do Cliente como informações confidenciais do Cliente e garantiremos que funcionários e demais integrantes da equipe tenham concordado por escrito em proteger a confidencialidade e a segurança desses dados.

4.6. Assistência. Prestaremos assistência razoável ao cumprimento das obrigações do Cliente sob as Leis de Proteção de Dados, considerando a natureza do tratamento e as informações disponíveis, inclusive quanto a direitos dos titulares, avaliações de impacto à proteção de dados e comunicações e consultas às autoridades competentes.

5.   SOLICITAÇÕES DE ACESSO E DIREITOS DOS TITULARES

5.1.  Solicitações dos titulares. Salvo quando exigido ou proibido, conforme o caso, pela legislação aplicável, notificaremos o Cliente sobre solicitações recebidas por nós ou por Suboperadores de titulares de dados pessoais incluídos nos Dados de Usuários Autorizados ou Dados de Usuários Finais do Cliente e não responderemos ao titular. O Cliente será o único responsável pelas respostas de mérito a essas solicitações ou comunicações.

5.2.  Alterações. Permitiremos ao Cliente corrigir, eliminar, bloquear, acessar ou copiar Dados de Usuários Autorizados ou Dados de Usuários Finais do Cliente conforme as funcionalidades dos Serviços.

5.3. Divulgação. Manteremos a confidencialidade dos Dados de Usuários Autorizados e Dados de Usuários Finais do Cliente e não os divulgaremos a terceiros, salvo autorização específica do Cliente ou do Contrato, ou exigência de lei nacional, tribunal ou regulador. Se houver exigência legal ou regulatória de tratamento ou divulgação a terceiros, primeiro informaremos o Cliente e lhe daremos oportunidade de contestá-la, salvo proibição legal de notificação.

6.     DEVOLUÇÃO E DESTRUIÇÃO DOS DADOS

6.1. Devolução. A pedido do Cliente, devolveremos quaisquer Dados de Usuários Finais do Cliente e/ou Dados de Usuários Autorizados em nosso formato padrão, garantindo a eliminação segura dessas informações.  

6.2. Eliminação/Destruição. No encerramento do Contrato, por qualquer motivo, ou no término de sua vigência, cessaremos imediatamente o tratamento dos Dados de Usuários Autorizados e Dados de Usuários Finais do Cliente e, em até 30 dias da instrução escrita do Cliente, eliminaremos ou destruiremos com segurança, ou devolveremos, todos os dados pessoais relacionados ao Contrato em nossa posse, sem retê-los, salvo para fins obrigatórios de manutenção de registros.

7. AVALIAÇÃO DE IMPACTO À PROTEÇÃO DE DADOS E CONSULTA PRÉVIA

7.1.  Na medida exigida pelas Leis de Proteção de Dados aplicáveis, prestaremos assistência razoável ao Cliente em avaliações de impacto e consultas prévias às suas autoridades supervisoras, exclusivamente em relação ao tratamento dos Dados de Usuários Autorizados ou Dados de Usuários Finais do Cliente, considerando a natureza do tratamento e as informações disponíveis.

8. DADOS DO CLIENTE SUJEITOS À CCPA

Nesta Seção 12, “Finalidade de Negócio”, “Coletar”, “Consumidor”, “Vender”,

“Compartilhar” e “Prestador de Serviços” têm os significados atribuídos pela CCPA.

Se os Dados do Cliente incluírem Dados Pessoais sujeitos à CCPA (“Dados Pessoais da CCPA”), as partes concordam com o seguinte:

(a) Os Dados Pessoais da CCPA são divulgados pelo Cliente apenas para as finalidades limitadas e especificadas de prestação dos Serviços, conforme o Contrato. Cada parte cumprirá as obrigações aplicáveis da CCPA e fornecerá o mesmo nível de proteção à privacidade exigido por ela.

(b) A Birdie não Venderá nem Compartilhará Dados Pessoais da CCPA Coletados nos termos do Contrato.

(c) A Birdie não reterá, utilizará nem divulgará Dados Pessoais da CCPA Coletados sob o Contrato para finalidades comerciais diferentes das Finalidades de Negócio especificadas no Contrato ou das permitidas pela CCPA.

(d) A Birdie não reterá, utilizará nem divulgará Dados Pessoais da CCPA Coletados sob o Contrato fora da relação comercial direta entre Birdie e Cliente, salvo autorização expressa da CCPA.

(e) O Cliente poderá adotar medidas razoáveis e adequadas para ajudar a garantir que a Birdie use os Dados Pessoais da CCPA Coletados sob o Contrato de forma compatível com suas obrigações legais.

(f) A Birdie notificará o Cliente se concluir que não consegue mais cumprir suas obrigações sob a CCPA. Após essa notificação, o Cliente poderá adotar medidas razoáveis e adequadas para interromper e remediar o uso não autorizado dos dados.

(g) A Birdie permitirá ao Cliente cumprir as solicitações dos Consumidores sob a CCPA. O Cliente informará a Birdie sobre as solicitações que ela deva atender e fornecerá as informações necessárias. Se a Birdie receber pedido de informação ou eliminação de um consumidor relativo a Dados Pessoais da CCPA, responderá em nome do Cliente ou informará ao consumidor que o pedido não pode ser atendido porque foi enviado a um prestador de serviços.

(h) Não obstante o disposto acima, conforme permitido pela CCPA, a Birdie poderá reter, usar ou divulgar Dados Pessoais da CCPA Coletados sob o Contrato: (i) para as Finalidades de Negócio específicas nele previstas que sejam exigidas pela CCPA; (ii) para contratar outro prestador de serviços ou contratado como subcontratado, desde que ele cumpra os requisitos de Prestador de Serviços da CCPA; (iii) para uso interno na criação ou melhoria da qualidade dos serviços prestados aos Clientes, ainda que essa finalidade não esteja especificada no Contrato, desde que os dados não sejam usados para prestar serviços em nome de outra pessoa; (iv) para prevenir, detectar ou investigar incidentes de segurança ou proteger contra atividades maliciosas, enganosas, fraudulentas ou ilegais, ainda que essa finalidade não esteja no Contrato; ou (v) para as finalidades enumeradas na seção 1798.145, subdivisões (a)(1) a (a)(7), do Código Civil da Califórnia.

9. DADOS DO CLIENTE SUJEITOS À LGPD

Se os Dados do Cliente incluírem Dados Pessoais sujeitos à LGPD (“Dados Abrangidos pela LGPD”), o termo Dados Pessoais do Cliente usado em qualquer seção anterior deste DPA será considerado como abrangendo esses dados.

10. RESPONSABILIDADES DO CLIENTE

Sem limitar suas responsabilidades contratuais, o Cliente é o único responsável por: (a) Dados da Conta, Credenciais do Cliente, incluindo atividades realizadas com elas, e Dados do Cliente, sujeitos às obrigações de tratamento da Birdie sob o Contrato e este DPA; (b) fornecer os avisos e obter os consentimentos e autorizações exigidos pelas Leis Aplicáveis das pessoas cujos Dados Pessoais possam integrar esses dados ou credenciais; e (c) garantir que não sejam enviados aos Serviços Dados Pessoais relativos a condenações e infrações penais (art. 10 do GDPR). Este DPA não concede o direito de permitir, e o Cliente não permitirá, direta ou indiretamente, que pessoas ou entidades que não sejam seus usuários autorizados acessem os Serviços, nem de utilizá-los ou permitir seu uso fora do previsto no Pedido aplicável, no Contrato e neste DPA, ou para finalidade ilícita.

11. RESPONSABILIDADE

A responsabilidade agregada de cada Parte e de suas Afiliadas decorrente ou relacionada a este DPA, inclusive às Cláusulas Contratuais-Padrão, seja contratual, extracontratual ou sob outra teoria de responsabilidade, está sujeita às limitações do Contrato, salvo na medida em que não possa ser limitada pela Lei Aplicável.

12.   ENCERRAMENTO

Este DPA permanecerá em pleno vigor enquanto o Contrato vigorar e será encerrado imediatamente com o encerramento do Contrato.

13. DEFINIÇÕES

Os termos iniciados com letras maiúsculas e não definidos em outra parte deste Contrato terão os significados atribuídos nesta Seção 9, salvo disposição abaixo em contrário:

“Leis Aplicáveis” significa todas as leis, normas, diretivas, regulamentos ou ordens governamentais aplicáveis ao cumprimento deste DPA por uma Parte, podendo incluir, conforme o caso, a legislação de proteção de dados da UE, a Lei de Privacidade do Consumidor da Califórnia de 2018 (CCPA), a Lei Federal brasileira nº 13.709 (“LGPD”) e as Leis colombianas de Proteção de Dados nº 1581 de 2012 e nº 1266 de 2008. 

"Usuário Autorizado” significa os funcionários do Cliente, os profissionais contratados que trabalhem para o Cliente e qualquer outra pessoa que trabalhe com ele ou em seu nome e tenha acesso aos Serviços exclusivamente em seu benefício e mediante sua autorização prévia.

"Dados de Usuários Autorizados” significa os “dados pessoais” relativos a cada Usuário Autorizado.

"CCPA” significa a seção 1798.100 e seguintes do Código Civil da Califórnia e seus regulamentos, conforme alterados periodicamente, incluindo a Lei de Direitos de Privacidade da Califórnia de 2020 (“CPRA”) e seus regulamentos de implementação.

"Controlador” terá o significado atribuído pelo GDPR do Reino Unido ou pela Lei de Proteção de Dados aplicável à Parte.

"Usuário Final do Cliente” significa um usuário final do Cliente.

"Dados de Usuários Finais do Cliente” significa os “dados pessoais” relativos a cada Usuário Final do Cliente.

"Leis de Proteção de Dados” significa a Legislação de Proteção de Dados do Reino Unido e qualquer outra legislação da União Europeia, incluindo o GDPR da UE, relativa a dados pessoais, bem como todas as demais leis e exigências regulatórias vigentes aplicáveis a uma Parte sobre o uso de dados pessoais, incluindo a privacidade das comunicações eletrônicas.

"EEE” significa os Estados-Membros da União Europeia, juntamente com Islândia, Noruega e Liechtenstein.

"GDPR da UE” significa o Regulamento Geral de Proteção de Dados ((UE) 2016/679), conforme produz efeitos no direito da UE.

"Transferência para fora do EEE” significa a exportação de dados pessoais para país ou território fora do EEE, exceto aquele que assegure nível adequado de proteção conforme determinação da Comissão Europeia.

"Transferência para fora do Reino Unido” significa a exportação de dados pessoais para país ou território fora do Reino Unido que não seja regida por decisão de adequação emitida pelo Secretário de Estado do Reino Unido conforme as disposições pertinentes do GDPR do Reino Unido e da Lei de Proteção de Dados de 2018.

"Incidente de Segurança” significa destruição, perda, alteração, divulgação ou acesso não autorizado, acidental ou ilícito, a quaisquer Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente.

"Serviços” tem o mesmo significado atribuído no Contrato.

"Software” tem o mesmo significado atribuído no Contrato.

"Suboperador” significa qualquer suboperador contratado por nós que aceite receber Dados de Usuários Autorizados e/ou Dados de Usuários Finais do Cliente.

"Legislação de Proteção de Dados do Reino Unido” significa toda a legislação de proteção de dados e privacidade vigente no Reino Unido, incluindo o GDPR do Reino Unido, a Lei de Proteção de Dados de 2018, a Diretiva de Privacidade e Comunicações Eletrônicas 2002/58/CE, atualizada pela Diretiva 2009/136/CE, e os Regulamentos de Privacidade e Comunicações Eletrônicas de 2003 (SI 2003/2426), conforme alterados.

"GDPR do Reino Unido” tem o significado atribuído pela seção 3(10), complementada pela seção 205(4), da Lei de Proteção de Dados de 2018.

"CCPs do Reino Unido” significa as Cláusulas Contratuais-Padrão (Operadores) aprovadas pela Decisão 2010/87/UE da Comissão Europeia.

“dados pessoais”, “titular dos dados”, “tratamento”, “controlador de dados”, “operador”, “operador de dados” e “autoridade supervisora” terão os significados atribuídos pelo GDPR do Reino Unido, pelo GDPR da UE ou pela Lei de Proteção de Dados aplicável à Parte.

Dados Pessoais da Califórnia

Para fins desta seção do Aditivo de Processamento de Dados, “Finalidade de Negócio”, “Vender” e suas variações, “Compartilhar” e suas variações e “Prestador de Serviços” têm os significados da CCPA.

Quando, nos termos do Contrato, o Cliente divulgar à VLC Dados Pessoais diretamente sujeitos à CCPA (“Dados Pessoais da Califórnia”), as Partes reconhecem que o Cliente é uma “Empresa” e a VLC é um “Prestador de Serviços” para fins da CCPA. A Empresa e o Prestador concordam que o Prestador tratará esses dados para executar os Serviços previstos no Contrato, reconhecidos como “Finalidade de Negócio” do Cliente, ou conforme permitido pela CCPA ou pela legislação aplicável. Salvo quando permitido pela legislação ou pelo Aditivo, o Prestador não poderá: (1) Vender Dados Pessoais da Califórnia; ou (2) retê-los, utilizá-los ou divulgá-los (i) para qualquer finalidade diferente das Finalidades de Negócio especificadas no Contrato. Para evitar dúvidas, esta seção aplica-se apenas a Dados Pessoais da Califórnia.

Aditivo do Canadá (PIPEDA e leis provinciais de privacidade)

Este Aditivo do Canadá (“Aditivo”) complementa o DPA e se aplica quando o Cliente ou seus Usuários Finais estiverem sujeitos à Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA) ou a leis provinciais substancialmente semelhantes, incluindo a Lei de Proteção de Informações Pessoais no Setor Privado de Quebec, conforme alterada pela Lei 25.

1. Definições
   Para fins deste Aditivo:

• “Leis Canadenses de Proteção de Dados” significa a PIPEDA e qualquer legislação provincial de privacidade substancialmente semelhante, incluindo a Lei de Proteção de Informações Pessoais, de Alberta, a Lei de Proteção de Informações Pessoais, da Colúmbia Britânica, e a Lei de Proteção de Informações Pessoais no Setor Privado, de Quebec, conforme alterada pela Lei 25.
• Os termos não definidos neste Aditivo terão os significados previstos no DPA.

2. Transferências internacionais

• 2.1. O Cliente reconhece e concorda que Dados Pessoais podem ser transferidos, acessados ou tratados nos Estados Unidos e em outras jurisdições onde a Operadora ou seus Suboperadores atuem.
• 2.2. A Operadora garantirá que essas transferências estejam sujeitas a salvaguardas contratuais, organizacionais e técnicas que proporcionem nível de proteção comparável ao exigido pelas Leis Canadenses de Proteção de Dados.
• 2.3. Mediante solicitação, a Operadora fornecerá informações sobre suas salvaguardas para transferências internacionais.

3. Avaliações de impacto à privacidade (Lei 25 de Quebec)

• 3.1. A Operadora reconhece que determinadas Leis Canadenses de Proteção de Dados, especialmente a Lei 25 de Quebec, podem exigir que o Cliente realize uma Avaliação de Impacto à Privacidade (PIA) antes de transferir Dados Pessoais para fora de Quebec.
• 3.2. Para apoiar o cumprimento dessa obrigação, a Operadora fornecerá, mediante solicitação razoável, a documentação necessária à PIA, por vezes denominada Avaliação de Impacto à Proteção de Dados (DPIA) em outros regimes, e informações sobre atividades de tratamento, medidas de segurança, locais de armazenamento e o regime jurídico das jurisdições onde os Dados Pessoais serão tratados.

4. Solicitações governamentais e de aplicação da lei

• 4.1. A Operadora notificará prontamente o Cliente sobre solicitações juridicamente vinculantes de divulgação de Dados Pessoais por autoridades governamentais ou policiais, salvo proibição legal.
• 4.2. A Operadora analisará a legalidade de cada solicitação e empregará esforços comercialmente razoáveis para contestar as que considerar excessivamente amplas ou ilegais. Em todos os casos, divulgará apenas o mínimo de Dados Pessoais necessário ao atendimento.

5. Aviso sobre transferências

• 5.1. A Operadora ajudará o Cliente a informar às pessoas que seus Dados Pessoais poderão ser transferidos para fora do Canadá para tratamento, conforme exigido pelas Leis Canadenses de Proteção de Dados.

6. Direitos dos titulares

• 6.1. A Operadora prestará assistência razoável ao Cliente no atendimento aos direitos dos titulares sob as Leis Canadenses de Proteção de Dados, incluindo acesso, correção, revogação de consentimento e eliminação, na medida aplicável à sua função.

7. Notificação de violação de dados

• 7.1. Em caso de violação de Dados Pessoais sujeitos a este Aditivo, além das obrigações do DPA, a Operadora fornecerá informações prontas e suficientes para que o Cliente avalie se há “risco real de dano significativo” (RROSH) a uma pessoa, conforme as Leis Canadenses de Proteção de Dados.
• 7.2. Na medida conhecida, essas informações incluirão as circunstâncias da violação, o número de pessoas afetadas, os dados envolvidos e as medidas adotadas para mitigar os danos e evitar recorrência.

8. Conflito

• 8.1. Em caso de conflito com o DPA, este Aditivo prevalecerá quanto aos Dados Pessoais sujeitos às Leis Canadenses de Proteção de Dados.

9. Dúvidas e resolução de reclamações

• 9.1. Se você tiver dúvidas, preocupações ou reclamações sobre nossas práticas de privacidade ou a gestão de suas informações pessoais, recomendamos contatar primeiro nosso Encarregado de Privacidade para tentarmos resolver a questão diretamente. Contato: security@birdie.ai
• 9.2. Se não estiver satisfeito com a resposta ou acreditar que tratamos suas informações em desacordo com a lei, você poderá apresentar reclamação formal à autoridade competente.

Para questões sujeitas à legislação federal canadense (PIPEDA), a autoridade supervisora é o Gabinete do Comissário de Privacidade do Canadá (OPC).

Seus dados de contato são:

• Site: www.priv.gc.ca
• Endereço: 30 Victoria Street, Gatineau, Quebec, K1A 1H3, Canada
• Ligação gratuita: 1-800-282-1376

Nota sobre as leis provinciais: Para residentes de Quebec, Colúmbia Britânica ou Alberta, podem se aplicar leis provinciais de privacidade do setor privado. Nesses casos, a reclamação poderá ser dirigida à respectiva autoridade provincial. Consulte o site do OPC para orientação sobre qual comissário contatar conforme sua localização e circunstâncias.

Aditivo da Colômbia (Lei 1581 de 2012 e Lei 1266 de 2008)

1. Base legal para o tratamento: O consentimento do titular é a base legal para tratar dados pessoais de Usuários Autorizados e Usuários Finais. Assim, nenhuma outra base de tratamento será utilizada.
2. Direitos dos titulares: A Operadora prestará assistência razoável ao Cliente no atendimento aos direitos dos titulares sob as Leis Colombianas de Proteção de Dados, incluindo acesso, correção, revogação de consentimento, eliminação e apresentação de reclamações à autoridade de proteção de dados, na medida aplicável à sua função.
3. Notificação de violação de dados: A notificação incluirá o número de titulares afetados, os tipos de dados, as causas e medidas corretivas adotadas e as datas da violação e de sua detecção. As violações serão notificadas ao Cliente em até vinte e quatro (24) horas da detecção.
4. Dados Pessoais Sensíveis: todos os dados pessoais relativos à saúde, gênero, opiniões políticas, raça ou origem étnica, biometria (voz) e intimidade do titular. Esses dados estão sujeitos a padrões mais rigorosos de conformidade em relação às medidas de segurança. 
5. Transferências internacionais: Os dados de Usuários Finais e Usuários Autorizados somente serão transferidos a jurisdições com nível adequado de proteção. Os territórios acordados são a União Europeia e os Estados Unidos. Se for necessária transferência a outras jurisdições, as Partes garantirão sua conformidade com as Leis Colombianas de Proteção de Dados.
6. Tratamento de dados pessoais em sistemas e modelos de inteligência artificial: O Cliente será informado antes de qualquer tratamento em modelos de inteligência artificial. O tratamento será limitado aos dados, à finalidade e aos sistemas específicos previamente aprovados expressamente pelo Cliente. Os dados de Usuários Finais e Usuários Autorizados serão utilizados apenas para prestar os Serviços ao Cliente, conforme suas instruções. As Partes realizarão Avaliação de Impacto à Privacidade quando o tratamento envolver alto risco aos titulares. A Operadora cumprirá os princípios éticos da UNESCO.

‍

Aditivo de Transferência de Dados do Reino Unido

Este Aditivo de Transferência de Dados do Reino Unido (“Aditivo”) integra o DPA entre o Cliente (“Exportador de Dados”) e Birdie (“Importador de Dados”).

1. Escopo e aplicação
   
   1.1. Este Aditivo aplica-se ao tratamento de Dados Pessoais protegidos pelas Leis de Proteção de Dados do Reino Unido, conforme definidas abaixo.
   
   1.2. Este Aditivo complementa o DPA e prevalecerá em caso de conflito quanto aos Dados Pessoais sujeitos às Leis de Proteção de Dados do Reino Unido.
   
   
2. Definições
   
   2.1. "Leis de Proteção de Dados do Reino Unido” significa o Regulamento Geral de Proteção de Dados do Reino Unido (UK GDPR), conforme adaptado pela Lei de Proteção de Dados de 2018.
   
   2.2. "Aditivo do Reino Unido” significa o Aditivo Internacional de Transferência de Dados às Cláusulas Contratuais-Padrão da Comissão Europeia, emitido pelo Gabinete do Comissário de Informação do Reino Unido.
   
   2.3. Os termos não definidos neste instrumento terão o significado previsto no DPA.
   
   
3. Transferências de dados a partir do Reino Unido
   
   3.1. As partes concordam que, quando a transferência estiver sujeita às Leis de Proteção de Dados do Reino Unido, o Aditivo do Reino Unido fica incorporado por referência e será considerado celebrado entre as partes.
   
   3.2. As Cláusulas Contratuais-Padrão (CCPs) mencionadas no DPA serão interpretadas conforme alteradas pelo Aditivo do Reino Unido.
   
   3.3. Para fins do Aditivo do Reino Unido, as informações exigidas em suas Tabelas são: Tabela 1: Os nomes e contatos das partes são os indicados no DPA e neste Aditivo. Tabela 2: A versão das CCPs Aprovadas da UE à qual se anexa o Aditivo do Reino Unido é o Módulo 2 (Controlador para Operador), conforme especificado no DPA. Tabela 3: A lista de partes, a descrição da transferência e as medidas técnicas e organizacionais são as descritas nos Anexos do DPA. Tabela 4: O Importador e o Exportador de Dados podem encerrar o Aditivo do Reino Unido conforme seus termos.
   
   
4. Transferências aos Estados Unidos sob o Data Privacy Framework
   
   4.1. O Importador de Dados (Birdie) declara e garante sua certificação no Data Privacy Framework UE–EUA (EU-U.S. DPF) e na Extensão do Reino Unido ao Data Privacy Framework UE–EUA (em conjunto, o “Programa DPF”), conforme declarado na Política de Privacidade. Uma cópia da certificação pode ser consultada no site do Data Privacy Framework.
   4.2. Na medida em que a Birdie estiver certificada na parte aplicável do Programa DPF, as transferências de Dados Pessoais do Exportador à Birdie nos Estados Unidos se basearão nessa certificação.
   
   4.3. A Birdie deverá: a) manter a certificação no Programa DPF aplicável durante todo o tratamento; b) notificar o Exportador sem demora injustificada se deixar de cumprir suas obrigações ou se a certificação for revogada, suspensa ou perder a validade.
   
   4.4. Caso a Birdie não possa se basear em sua certificação por qualquer motivo, ou se o Programa DPF for invalidado, as transferências estarão automaticamente sujeitas às salvaguardas das Cláusulas Contratuais-Padrão alteradas por este Aditivo na Seção 3, sem necessidade de providências adicionais das partes.

‍

ANEXO A

FINALIDADES E DETALHES DO TRATAMENTO DE DADOS PESSOAIS

Exportador de dados: Cliente

Importador de dados: Birdie
Objeto do tratamento: O tratamento é necessário para viabilizar os Serviços previstos no Contrato.

Duração do tratamento: Durante a vigência do Contrato, salvo acordo escrito em contrário.

Natureza do tratamento: Armazenamento, transmissão e uso para fornecer os Serviços.

Finalidade de negócio: Fornecimento dos Serviços previstos no Contrato.

Categorias de dados pessoais:
(i) Nome, e-mail e identificadores on-line, como endereço IP, de cada Usuário Autorizado.

(ii) Informações contidas em feedback, transcrições de chat ou outros formatos coletadas pelo Cliente e fornecidas à Birdie sobre cada Usuário Final do Cliente.

(iii) Metadados associados ao feedback coletado pelo Cliente e fornecido à Birdie sobre cada Usuário Final do Cliente.

(iv) Credenciais e chaves de API para acessar plataformas de feedback.

Titulares dos dados: Usuário Autorizado e Usuário Final do Cliente.

ANEXO B

SUBOPERADORES

ANEXO C

POLÍTICAS E PROCEDIMENTOS TÉCNICOS

Introdução

Mantemos políticas e procedimentos internos, ou exigimos que nossos Suboperadores os mantenham, destinados a:

(i) proteger os dados pessoais tratados contra perda, acesso ou divulgação acidentais ou ilícitos;

(ii) identificar riscos internos razoavelmente previsíveis para proteger contra acesso não autorizado aos dados pessoais tratados;

(iii) minimizar riscos de segurança, inclusive por avaliações de risco e testes regulares.

Revisaremos periodicamente a segurança da rede e a adequação do programa de segurança da informação em relação aos padrões do setor e às nossas políticas e procedimentos, incluindo a política de segurança, e empregaremos todos os esforços práticos para que nossos Suboperadores façam o mesmo.

Avaliaremos periodicamente a segurança da rede e dos serviços associados para determinar se medidas adicionais ou diferentes são necessárias em resposta a novos riscos ou às constatações das revisões periódicas e empregaremos esforços razoáveis para que nossos Suboperadores façam o mesmo.

Controles de acesso

Limitamos o acesso a dados pessoais por meio de controles apropriados.

Disponibilidade e backup dos dados pessoais

Realizamos backups regulares. Eles são armazenados separadamente e criptografados em repouso.

Criptografia

Utilizamos criptografia, quando apropriado, para proteger dados pessoais armazenados eletronicamente.

Transmissão ou transporte de dados pessoais

Implementaremos controles adequados para proteger dados pessoais durante a transmissão ou o transporte.

Treinamento da equipe

Treinamos periodicamente a equipe em segurança e privacidade de dados relacionadas às suas funções e garantimos que novos integrantes recebam treinamento adequado antes de iniciar suas atividades. Funcionários estão sujeitos a medidas disciplinares por violações de nossas políticas e procedimentos de privacidade e segurança.