CLÁUSULAS CONTRATUAIS PADRÃO

CLÁUSULAS CONTRATUAIS PADRÃO

SEÇÃO I

Cláusula 1

Objetivo e âmbito de aplicação

  1. O objetivo destas cláusulas contratuais padrão é assegurar a conformidade com os requisitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados)1 para a transferência de dados pessoais para um país terceiro.
  2. As Partes:
    1. a(s) pessoa(s) singular(es) ou coletiva(s), autoridade(s) pública(s), agência(s) ou outro(s) organismo(s) (doravante “entidade(s)”) que transfere(m) os dados pessoais, conforme listado no Anexo I.A. (doravante, cada uma, “exportador de dados”), e
    2. a(s) entidade(s) num país terceiro que recebe(m) os dados pessoais do exportador de dados, direta ou indiretamente através de outra entidade também Parte destas Cláusulas, conforme listado no Anexo I.A. (doravante, cada uma, “importador de dados”),
    acordaram nestas cláusulas contratuais padrão (doravante: “Cláusulas”).
  3. Estas Cláusulas aplicam-se no que diz respeito à transferência de dados pessoais conforme especificado no Anexo I.B.
  4. O Apêndice destas Cláusulas, que contém os Anexos nelas referidos, faz parte integrante destas Cláusulas.

Cláusula 2

Efeito e invariabilidade das Cláusulas

  1. Estas Cláusulas estabelecem salvaguardas adequadas, incluindo direitos exercíveis dos titulares dos dados e vias de recurso jurídico eficazes, nos termos do artigo 46.º, n.º 1, e do artigo 46.º, n.º 2, alínea c), do Regulamento (UE) 2016/679 e, no que diz respeito às transferências de dados de responsáveis pelo tratamento para subcontratantes e/ou de subcontratantes para subcontratantes, cláusulas contratuais padrão nos termos do artigo 28.º, n.º 7, do Regulamento (UE) 2016/679, desde que não sejam modificadas, exceto para selecionar o(s) Módulo(s) apropriado(s) ou para adicionar ou atualizar informações no Apêndice. Tal não impede as Partes de incluírem as cláusulas contratuais padrão estabelecidas nestas Cláusulas num contrato mais amplo e/ou de adicionarem outras cláusulas ou salvaguardas adicionais, desde que estas não contradigam, direta ou indiretamente, estas Cláusulas nem prejudiquem os direitos ou liberdades fundamentais dos titulares dos dados.
  2. Estas Cláusulas não prejudicam as obrigações a que o exportador de dados está sujeito por força do Regulamento (UE) 2016/679.

1 Sempre que o exportador de dados for um subcontratante sujeito ao Regulamento (UE) 2016/679 que atue em nome de uma instituição ou organismo da União como responsável pelo tratamento, a utilização destas Cláusulas ao contratar outro subcontratante (subcontratação ulterior) não sujeito ao Regulamento (UE) 2016/679 também assegura a conformidade com o artigo 29.º, n.º 4, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (JO L 295 de 21.11.2018, p. 39), na medida em que estas Cláusulas e as obrigações de proteção de dados estabelecidas no contrato ou noutro ato jurídico entre o responsável pelo tratamento e o subcontratante nos termos do artigo 29.º, n.º 3, do Regulamento (UE) 2018/1725 estejam alinhadas. Tal será o caso, em particular, quando o responsável pelo tratamento e o subcontratante utilizarem as cláusulas contratuais padrão incluídas na Decisão […].

Cláusula 3

Terceiros beneficiários

  1. Os titulares dos dados podem invocar e fazer cumprir estas Cláusulas, na qualidade de terceiros beneficiários, contra o exportador de dados e/ou o importador de dados, com as seguintes exceções:
    1. Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7;
    2. Módulo Dois: Cláusula 8.1(b), 8.9(a), (c), (d) e (e);
    3. Cláusula 9 – Módulo Dois: Cláusula 9(a), (c), (d) e (e);
    4. Módulo Dois: Cláusula 12(a), (d) e (f);
    5. Cláusula 13;
    6. Cláusula 15.1(c), (d) e (e);
    7. Cláusula 16(e);
    8. Cláusula 18 – Módulo Dois: Cláusula 18(a) e (b).
  2. A alínea (a) não prejudica os direitos dos titulares dos dados ao abrigo do Regulamento (UE) 2016/679.

Cláusula 4

Interpretação

  1. Sempre que estas Cláusulas utilizarem termos definidos no Regulamento (UE) 2016/679, esses termos terão o mesmo significado que nesse Regulamento.
  2. Estas Cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679.
  3. Estas Cláusulas não devem ser interpretadas de forma a entrar em conflito com os direitos e obrigações previstos no Regulamento (UE) 2016/679.

Cláusula 5

Hierarquia

Em caso de contradição entre estas Cláusulas e as disposições de acordos conexos entre as Partes, existentes no momento em que estas Cláusulas são acordadas ou celebrados posteriormente, estas Cláusulas prevalecerão.

Cláusula 6

Descrição da(s) transferência(s)

Os detalhes da(s) transferência(s) e, em particular, as categorias de dados pessoais transferidos e a(s) finalidade(s) para as quais são transferidos, estão especificados no Anexo I.B.

Cláusula 7 – Opcional

Cláusula de adesão

  1. Uma entidade que não seja Parte destas Cláusulas pode, com o acordo das Partes, aderir a estas Cláusulas a qualquer momento, seja como exportador de dados ou como importador de dados, preenchendo o Apêndice e assinando o Anexo I.A.
  2. Uma vez preenchido o Apêndice e assinado o Anexo I.A, a entidade aderente tornar-se-á Parte destas Cláusulas e terá os direitos e obrigações de um exportador de dados ou importador de dados, de acordo com a sua designação no Anexo I.A.
  3. A entidade aderente não terá direitos ou obrigações decorrentes destas Cláusulas relativos ao período anterior à sua adesão como Parte.

SEÇÃO II – OBRIGAÇÕES DAS PARTES

Cláusula 8

Salvaguardas de proteção de dados

O exportador de dados garante que envidou esforços razoáveis para determinar que o importador de dados é capaz, através da implementação de medidas técnicas e organizativas adequadas, de cumprir as suas obrigações ao abrigo destas Cláusulas.

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

8.1 Instruções

  1. O importador de dados tratará os dados pessoais apenas com base em instruções documentadas do exportador de dados. O exportador de dados pode dar tais instruções durante toda a vigência do contrato.
  2. O importador de dados informará imediatamente o exportador de dados se não puder seguir essas instruções.

8.2 Limitação da finalidade

O importador de dados tratará os dados pessoais apenas para a(s) finalidade(s) específica(s) da transferência, conforme estabelecido no Anexo I.B, a menos que receba novas instruções do exportador de dados.

8.3 Transparência

A pedido, o exportador de dados disponibilizará gratuitamente ao titular dos dados uma cópia destas Cláusulas, incluindo o Apêndice preenchido pelas Partes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo as medidas descritas no Anexo II e dados pessoais, o exportador de dados pode ocultar parte do texto do Apêndice destas Cláusulas antes de partilhar uma cópia, mas deverá fornecer um resumo significativo caso o titular dos dados, de outra forma, não consiga compreender o conteúdo ou exercer os seus direitos. A pedido, as Partes fornecerão ao titular dos dados os motivos das ocultações, na medida do possível sem revelar a informação ocultada. Esta Cláusula não prejudica as obrigações do exportador de dados ao abrigo dos artigos 13.º e 14.º do Regulamento (UE) 2016/679.

8.4 Exatidão

Se o importador de dados tomar conhecimento de que os dados pessoais que recebeu são inexatos ou se tornaram obsoletos, informará o exportador de dados sem demora injustificada. Neste caso, o importador de dados cooperará com o exportador de dados para apagar ou retificar os dados.

8.5 Duração do tratamento e apagamento ou devolução dos dados

O tratamento pelo importador de dados apenas ocorrerá durante o período especificado no Anexo I.B. Após o término da prestação dos serviços de tratamento, o importador de dados deverá, por escolha do exportador de dados, apagar todos os dados pessoais tratados em nome do exportador de dados e certificar ao exportador de dados que o fez, ou devolver ao exportador de dados todos os dados pessoais tratados em seu nome e apagar as cópias existentes. Até que os dados sejam apagados ou devolvidos, o importador de dados continuará a assegurar a conformidade com estas Cláusulas. No caso de leis locais aplicáveis ao importador de dados que proíbam a devolução ou o apagamento dos dados pessoais, o importador de dados garante que continuará a assegurar a conformidade com estas Cláusulas e que apenas os tratará na medida e pelo tempo exigido por essa lei local. Tal não prejudica a Cláusula 14, em particular o requisito para o importador de dados, ao abrigo da Cláusula 14(e), de notificar o exportador de dados durante toda a vigência do contrato se tiver razões para acreditar que está ou passou a estar sujeito a leis ou práticas que não estejam em conformidade com os requisitos da Cláusula 14(a).

8.6 Segurança do tratamento

  1. O importador de dados e, durante a transmissão, também o exportador de dados implementarão medidas técnicas e organizativas adequadas para garantir a segurança dos dados, incluindo a proteção contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados a esses dados (doravante “violação de dados pessoais”). Ao avaliar o nível de segurança adequado, as Partes terão devidamente em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e a(s) finalidade(s) do tratamento, bem como os riscos envolvidos no tratamento para os titulares dos dados. As Partes considerarão, em particular, o recurso à criptografia ou pseudonimização, inclusive durante a transmissão, sempre que a finalidade do tratamento possa ser alcançada dessa forma. Em caso de pseudonimização, as informações adicionais para atribuir os dados pessoais a um titular de dados específico permanecerão, sempre que possível, sob o controlo exclusivo do exportador de dados. No cumprimento das suas obrigações ao abrigo deste parágrafo, o importador de dados implementará, pelo menos, as medidas técnicas e organizativas especificadas no Anexo II. O importador de dados realizará verificações regulares para garantir que estas medidas continuam a proporcionar um nível de segurança adequado.
  2. O importador de dados concederá acesso aos dados pessoais aos membros do seu pessoal apenas na medida estritamente necessária para a execução, gestão e monitorização do contrato. Assegurará que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.
  3. Na eventualidade de uma violação de dados pessoais relativa a dados tratados pelo importador de dados ao abrigo destas Cláusulas, o importador de dados tomará as medidas adequadas para lidar com a violação, incluindo medidas para atenuar os seus efeitos adversos. O importador de dados também notificará o exportador de dados sem demora injustificada após tomar conhecimento da violação. Tal notificação conterá os detalhes de um ponto de contacto onde podem ser obtidas mais informações, uma descrição da natureza da violação (incluindo, sempre que possível, as categorias e o número aproximado de titulares de dados e de registos de dados pessoais em causa), as suas consequências prováveis e as medidas tomadas ou propostas para lidar com a violação, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos adversos. Sempre que, e na medida em que, não seja possível fornecer todas as informações ao mesmo tempo, a notificação inicial conterá as informações então disponíveis e as informações complementares serão fornecidas posteriormente, sem demora injustificada, à medida que estiverem disponíveis.
  4. O importador de dados cooperará e prestará assistência ao exportador de dados para permitir que este cumpra as suas obrigações ao abrigo do Regulamento (UE) 2016/679, em particular para notificar a autoridade de controlo competente e os titulares dos dados afetados, tendo em conta a natureza do tratamento e as informações de que o importador de dados dispõe.

8.7 Dados sensíveis

Sempre que a transferência envolva dados pessoais que revelem a origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, ou a filiação sindical, dados genéticos ou dados biométricos para identificar de forma inequívoca uma pessoa singular, dados relativos à saúde ou à vida sexual ou orientação sexual de uma pessoa, ou dados relativos a condenações penais e infrações (doravante “dados sensíveis”), o importador de dados aplicará as restrições específicas e/ou salvaguardas adicionais descritas no Anexo I.B.

8.8 Transferências ulteriores

O importador de dados apenas divulgará os dados pessoais a terceiros com base em instruções documentadas do exportador de dados. Além disso, os dados só podem ser divulgados a terceiros localizados fora da União Europeia2 (no mesmo país que o importador de dados ou noutro país terceiro, doravante “transferência ulterior”) se o terceiro estiver ou concordar em ficar vinculado por estas Cláusulas, ao abrigo do Módulo apropriado, ou se:

  1. a transferência ulterior for para um país que beneficie de uma decisão de adequação nos termos do artigo 45.º do Regulamento (UE) 2016/679 que abranja a transferência ulterior;
  2. o terceiro assegurar, de outra forma, salvaguardas adequadas nos termos dos artigos 46.º ou 47.º do Regulamento (UE) 2016/679 relativamente ao tratamento em questão;
  3. a transferência ulterior for necessária para a declaração, o exercício ou a defesa de um direito num processo judicial no contexto de processos administrativos, regulamentares ou judiciais específicos; ou
  4. a transferência ulterior for necessária para proteger os interesses vitais do titular dos dados ou de outra pessoa singular.

Qualquer transferência ulterior está sujeita ao cumprimento, por parte do importador de dados, de todas as outras salvaguardas ao abrigo destas Cláusulas, em particular a limitação da finalidade.

2 O Acordo sobre o Espaço Económico Europeu (Acordo EEE) prevê a extensão do mercado interno da União Europeia aos três Estados do EEE: Islândia, Liechtenstein e Noruega. A legislação da União em matéria de proteção de dados, incluindo o Regulamento (UE) 2016/679, é abrangida pelo Acordo EEE e foi incorporada no seu Anexo XI. Por conseguinte, qualquer divulgação pelo importador de dados a um terceiro localizado no EEE não se qualifica como uma transferência ulterior para efeitos destas Cláusulas.

8.9 Documentação e conformidade

  1. O importador de dados tratará de forma imediata e adequada os pedidos de informação do exportador de dados que se refiram ao tratamento ao abrigo destas Cláusulas.
  2. As Partes devem ser capazes de demonstrar a conformidade com estas Cláusulas. Em particular, o importador de dados manterá documentação adequada sobre as atividades de tratamento realizadas em nome do exportador de dados.
  3. O importador de dados disponibilizará ao exportador de dados todas as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas nestas Cláusulas e, a pedido do exportador de dados, permitirá e contribuirá para auditorias das atividades de tratamento abrangidas por estas Cláusulas, em intervalos razoáveis ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou auditoria, o exportador de dados pode ter em conta certificações relevantes detidas pelo importador de dados.
  4. O exportador de dados pode optar por realizar a auditoria por si próprio ou mandatar um auditor independente. As auditorias podem incluir inspeções nas instalações ou infraestruturas físicas do importador de dados e serão, sempre que apropriado, realizadas com aviso prévio razoável.
  5. As Partes disponibilizarão à autoridade de controlo competente, a pedido, as informações referidas nas alíneas (b) e (c), incluindo os resultados de quaisquer auditorias.

Cláusula 9

Utilização de subcontratantes ulteriores

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

  1. O importador de dados tem a autorização geral do exportador de dados para a contratação de subcontratante(s) ulterior(es) a partir de uma lista acordada. O importador de dados informará especificamente o exportador de dados, por escrito, de quaisquer alterações pretendidas a essa lista através da adição ou substituição de subcontratantes ulteriores com pelo menos 10 dias úteis de antecedência, dando assim ao exportador de dados tempo suficiente para poder opor-se a tais alterações antes da contratação do(s) subcontratante(s) ulterior(es). O importador de dados fornecerá ao exportador de dados as informações necessárias para permitir que este exerça o seu direito de oposição.
  2. Sempre que o importador de dados contratar um subcontratante ulterior para realizar atividades de tratamento específicas (em nome do exportador de dados), fá-lo-á por meio de um contrato escrito que preveja, em substância, as mesmas obrigações de proteção de dados que as que vinculam o importador de dados ao abrigo destas Cláusulas, inclusive em termos de direitos de terceiros beneficiários para os titulares dos dados.3 As Partes concordam que, ao cumprir esta Cláusula, o importador de dados cumpre as suas obrigações ao abrigo da Cláusula 8.8. O importador de dados assegurará que o subcontratante ulterior cumpre as obrigações a que o importador de dados está sujeito nos termos destas Cláusulas.
  3. O importador de dados fornecerá, a pedido do exportador de dados, uma cópia desse acordo de subcontratação ulterior e de quaisquer alterações subsequentes ao exportador de dados. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o importador de dados pode ocultar o texto do acordo antes de partilhar uma cópia.
  4. O importador de dados continuará a ser plenamente responsável perante o exportador de dados pelo desempenho das obrigações do subcontratante ulterior ao abrigo do seu contrato com o importador de dados. O importador de dados notificará o exportador de dados de qualquer falha do subcontratante ulterior no cumprimento das suas obrigações ao abrigo desse contrato.
  5. O importador de dados acordará uma cláusula de terceiro beneficiário com o subcontratante ulterior pela qual — na eventualidade de o importador de dados ter desaparecido de facto, deixado de existir juridicamente ou se ter tornado insolvente — o exportador de dados terá o direito de rescindir o contrato com o subcontratante ulterior e de instruir o subcontratante ulterior a apagar ou devolver os dados pessoais.

3 Este requisito pode ser satisfeito através da adesão do subcontratante ulterior a estas Cláusulas ao abrigo do Módulo apropriado, em conformidade com a Cláusula 7.

Cláusula 10

Direitos dos titulares dos dados

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

  1. O importador de dados notificará prontamente o exportador de dados de qualquer pedido que tenha recebido de um titular de dados. Não responderá a esse pedido por si próprio, a menos que tenha sido autorizado a fazê-lo pelo exportador de dados.
  2. O importador de dados auxiliará o exportador de dados no cumprimento das suas obrigações de responder aos pedidos dos titulares dos dados para o exercício dos seus direitos ao abrigo do Regulamento (UE) 2016/679. A este respeito, as Partes estabelecerão no Anexo II as medidas técnicas e organizativas adequadas, tendo em conta a natureza do tratamento, através das quais a assistência será prestada, bem como o âmbito e a extensão da assistência necessária.
  3. No cumprimento das suas obrigações ao abrigo dos parágrafos (a) e (b), o importador de dados cumprirá as instruções do exportador de dados.

Cláusula 11

Vias de recurso

  1. O importador de dados informará os titulares dos dados, num formato transparente e facilmente acessível, através de aviso individual ou no seu website, de um ponto de contacto autorizado para lidar com reclamações. Tratará prontamente quaisquer reclamações que receba de um titular de dados.

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

  1. Em caso de litígio entre um titular de dados e uma das Partes no que diz respeito à conformidade com estas Cláusulas, essa Parte envidará os seus melhores esforços para resolver a questão amigavelmente e em tempo útil. As Partes manter-se-ão informadas mutuamente sobre tais litígios e, sempre que apropriado, cooperarão na sua resolução.
  2. Sempre que o titular dos dados invocar um direito de terceiro beneficiário nos termos da Cláusula 3, o importador de dados aceitará a decisão do titular dos dados de:
    1. apresentar uma reclamação junto da autoridade de controlo no Estado-Membro da sua residência habitual ou local de trabalho, ou junto da autoridade de controlo competente nos termos da Cláusula 13;
    2. submeter o litígio aos tribunais competentes na aceção da Cláusula 18.
  3. As Partes aceitam que o titular dos dados possa ser representado por um organismo, organização ou associação sem fins lucrativos, nas condições estabelecidas no artigo 80.º, n.º 1, do Regulamento (UE) 2016/679.
  4. O importador de dados cumprirá uma decisão que seja vinculativa ao abrigo da legislação aplicável da UE ou de um Estado-Membro.
  5. O importador de dados concorda que a escolha feita pelo titular dos dados não prejudicará os seus direitos substantivos e processuais de procurar vias de recurso em conformidade com as leis aplicáveis.

Cláusula 12

Responsabilidade

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

  1. Cada Parte será responsável perante a(s) outra(s) Parte(s) por quaisquer danos que lhe(s) cause por qualquer violação destas Cláusulas.
  2. O importador de dados será responsável perante o titular dos dados, e o titular dos dados terá direito a receber uma indemnização, por quaisquer danos materiais ou imateriais que o importador de dados ou o seu subcontratante ulterior causem ao titular dos dados ao violarem os direitos de terceiros beneficiários ao abrigo destas Cláusulas.
  3. Não obstante o parágrafo (b), o exportador de dados será responsável perante o titular dos dados, e o titular dos dados terá direito a receber uma indemnização, por quaisquer danos materiais ou imateriais que o exportador de dados ou o importador de dados (ou o seu subcontratante ulterior) causem ao titular dos dados ao violarem os direitos de terceiros beneficiários ao abrigo destas Cláusulas. Tal não prejudica a responsabilidade do exportador de dados e, sempre que o exportador de dados for um subcontratante que atue em nome de um responsável pelo tratamento, a responsabilidade do responsável pelo tratamento ao abrigo do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, conforme aplicável.
  4. As Partes concordam que, se o exportador de dados for responsabilizado ao abrigo do parágrafo (c) por danos causados pelo importador de dados (ou pelo seu subcontratante ulterior), terá o direito de reclamar do importador de dados a parte da indemnização correspondente à responsabilidade do importador de dados pelo dano.
  5. Sempre que mais do que uma Parte for responsável por qualquer dano causado ao titular dos dados em resultado de uma violação destas Cláusulas, todas as Partes responsáveis serão solidariamente responsáveis e o titular dos dados tem o direito de intentar uma ação judicial contra qualquer uma destas Partes.
  6. As Partes concordam que, se uma Parte for responsabilizada ao abrigo do parágrafo (e), terá o direito de reclamar da(s) outra(s) Parte(s) a parte da indemnização correspondente à sua responsabilidade pelo dano.
  7. O importador de dados não pode invocar a conduta de um subcontratante ulterior para evitar a sua própria responsabilidade.

Cláusula 13

Supervisão

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

  1. Sempre que o exportador de dados estiver estabelecido num Estado-Membro da UE: A autoridade de controlo responsável por assegurar a conformidade do exportador de dados com o Regulamento (UE) 2016/679 no que diz respeito à transferência de dados, conforme indicado no Anexo I.C, atuará como autoridade de controlo competente.

    Sempre que o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas se encontre dentro do âmbito de aplicação territorial do Regulamento (UE) 2016/679 em conformidade com o seu artigo 3.º, n.º 2, e tenha nomeado um representante nos termos do artigo 27.º, n.º 1, do Regulamento (UE) 2016/679: A autoridade de controlo do Estado-Membro em que o representante, na aceção do artigo 27.º, n.º 1, do Regulamento (UE) 2016/679, estiver estabelecido, conforme indicado no Anexo I.C, atuará como autoridade de controlo competente.

    Sempre que o exportador de dados não estiver estabelecido num Estado-Membro da UE, mas se encontre dentro do âmbito de aplicação territorial do Regulamento (UE) 2016/679 em conformidade com o seu artigo 3.º, n.º 2, sem ter, contudo, de nomear um representante nos termos do artigo 27.º, n.º 2, do Regulamento (UE) 2016/679: A autoridade de controlo de um dos Estados-Membros em que se encontram os titulares dos dados cujos dados pessoais são transferidos ao abrigo destas Cláusulas em relação à oferta de bens ou serviços que lhes é dirigida, ou cujo comportamento é monitorizado, conforme indicado no Anexo I.C, atuará como autoridade de controlo competente.

  2. O importador de dados concorda em submeter-se à jurisdição da autoridade de controlo competente e em cooperar com a mesma em quaisquer procedimentos destinados a assegurar a conformidade com estas Cláusulas. Em particular, o importador de dados concorda em responder a pedidos de informação, submeter-se a auditorias e cumprir as medidas adotadas pela autoridade de controlo, incluindo medidas corretivas e compensatórias. Fornecerá à autoridade de controlo uma confirmação por escrito de que as ações necessárias foram tomadas.

SEÇÃO III – LEIS LOCAIS E OBRIGAÇÕES EM CASO DE ACESSO POR AUTORIDADES PÚBLICAS

Cláusula 14

Leis e práticas locais que afetam a conformidade com as Cláusulas

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

  1. As Partes garantem que não têm razões para acreditar que as leis e práticas no país terceiro de destino aplicáveis ao tratamento dos dados pessoais pelo importador de dados, incluindo quaisquer requisitos de divulgação de dados pessoais ou medidas que autorizem o acesso por autoridades públicas, impeçam o importador de dados de cumprir as suas obrigações ao abrigo destas Cláusulas. Isto baseia-se no entendimento de que as leis e práticas que respeitam a essência dos direitos e liberdades fundamentais e não excedem o que é necessário e proporcionado numa sociedade democrática para salvaguardar um dos objetivos enumerados no artigo 23.º, n.º 1, do Regulamento (UE) 2016/679, não estão em contradição com estas Cláusulas.
  2. As Partes declaram que, ao fornecerem a garantia referida no parágrafo (a), tiveram devidamente em conta, em particular, os seguintes elementos:
    1. as circunstâncias específicas da transferência, incluindo a extensão da cadeia de tratamento, o número de intervenientes envolvidos e os canais de transmissão utilizados; as transferências ulteriores pretendidas; o tipo de destinatário; a finalidade do tratamento; as categorias e o formato dos dados pessoais transferidos; o setor económico em que ocorre a transferência; o local de armazenamento dos dados transferidos;
    2. as leis e práticas do país terceiro de destino – incluindo as que exigem a divulgação de dados a autoridades públicas ou que autorizam o acesso por tais autoridades – relevantes à luz das circunstâncias específicas da transferência, e as limitações e salvaguardas aplicáveis4;
    3. quaisquer salvaguardas contratuais, técnicas ou organizativas relevantes implementadas para complementar as salvaguardas ao abrigo destas Cláusulas, incluindo medidas aplicadas durante a transmissão e ao tratamento dos dados pessoais no país de destino.
  3. O importador de dados garante que, ao realizar a avaliação ao abrigo do parágrafo (b), envidou os seus melhores esforços para fornecer ao exportador de dados informações relevantes e concorda que continuará a cooperar com o exportador de dados para assegurar a conformidade com estas Cláusulas.
  4. As Partes concordam em documentar a avaliação ao abrigo do parágrafo (b) e em disponibilizá-la à autoridade de controlo competente, a pedido.
  5. O importador de dados concorda em notificar prontamente o exportador de dados se, após ter acordado nestas Cláusulas e durante a vigência do contrato, tiver razões para acreditar que está ou passou a estar sujeito a leis ou práticas que não estejam em conformidade com os requisitos do parágrafo (a), inclusive na sequência de uma alteração nas leis do país terceiro ou de uma medida (como um pedido de divulgação) que indique uma aplicação de tais leis na prática que não esteja em conformidade com os requisitos do parágrafo (a).
  6. Após uma notificação nos termos do parágrafo (e), ou se o exportador de dados tiver, de outra forma, razões para acreditar que o importador de dados já não pode cumprir as suas obrigações ao abrigo destas Cláusulas, o exportador de dados identificará prontamente as medidas adequadas (por exemplo, medidas técnicas ou organizativas para garantir a segurança e a confidencialidade) a serem adotadas pelo exportador de dados e/ou pelo importador de dados para lidar com a situação. O exportador de dados suspenderá a transferência de dados se considerar que não podem ser asseguradas salvaguardas adequadas para tal transferência, ou se for instruído pela autoridade de controlo competente para o fazer. Neste caso, o exportador de dados terá o direito de rescindir o contrato, na medida em que este se refira ao tratamento de dados pessoais ao abrigo destas Cláusulas. Se o contrato envolver mais de duas Partes, o exportador de dados poderá exercer este direito de rescisão apenas em relação à Parte relevante, a menos que as Partes tenham acordado de outra forma. Sempre que o contrato for rescindido nos termos desta Cláusula, aplicar-se-á a Cláusula 16(d) e (e).

4 No que diz respeito ao impacto de tais leis e práticas na conformidade com estas Cláusulas, diferentes elementos podem ser considerados como parte de uma avaliação global. Tais elementos podem incluir experiência prática relevante e documentada com instâncias anteriores de pedidos de divulgação de autoridades públicas, ou a ausência de tais pedidos, abrangendo um período de tempo suficientemente representativo. Refere-se, em particular, a registos internos ou outra documentação, elaborada de forma contínua de acordo com a diligência devida e certificada ao nível da gestão superior, desde que esta informação possa ser legalmente partilhada com terceiros. Sempre que se recorra a esta experiência prática para concluir que o importador de dados não será impedido de cumprir estas Cláusulas, esta deve ser apoiada por outros elementos objetivos e relevantes, cabendo às Partes considerar cuidadosamente se estes elementos, em conjunto, têm peso suficiente, em termos da sua fiabilidade e representatividade, para sustentar esta conclusão. Em particular, as Partes têm de ter em conta se a sua experiência prática é corroborada e não contraditada por informações fiáveis, publicamente disponíveis ou acessíveis de outra forma, sobre a existência ou ausência de pedidos no mesmo setor e/ou a aplicação da lei na prática, tais como jurisprudência e relatórios de organismos de supervisão independentes.

Cláusula 15

Obrigações do importador de dados em caso de acesso por autoridades públicas

MÓDULO DOIS: Transferência de responsável pelo tratamento para subcontratante

15.1 Notificação

  1. O importador de dados concorda em notificar prontamente o exportador de dados e, sempre que possível, o titular dos dados (se necessário com a ajuda do exportador de dados) se:
    1. receber um pedido juridicamente vinculativo de uma autoridade pública, incluindo autoridades judiciais, ao abrigo das leis do país de destino para a divulgação de dados pessoais transferidos nos termos destas Cláusulas; tal notificação incluirá informações sobre os dados pessoais solicitados, a autoridade requerente, a base jurídica do pedido e a resposta fornecida; ou
    2. tomar conhecimento de qualquer acesso direto por autoridades públicas a dados pessoais transferidos nos termos destas Cláusulas, em conformidade com as leis do país de destino; tal notificação incluirá todas as informações de que o importador dispõe.
  2. Se o importador de dados estiver proibido de notificar o exportador de dados e/ou o titular dos dados ao abrigo das leis do país de destino, o importador de dados concorda em envidar os seus melhores esforços para obter uma dispensa da proibição, com vista a comunicar o máximo de informação possível, o mais rapidamente possível. O importador de dados concorda em documentar os seus melhores esforços para poder demonstrá-los a pedido do exportador de dados.
  3. Sempre que permitido pelas leis do país de destino, o importador de dados concorda em fornecer ao exportador de dados, em intervalos regulares durante a vigência do contrato, o máximo de informações relevantes possível sobre os pedidos recebidos (em particular, número de pedidos, tipo de dados solicitados, autoridade(s) requerente(s), se os pedidos foram contestados e o resultado de tais contestações, etc.).
  4. O importador de dados concorda em preservar as informações nos termos dos parágrafos (a) a (c) durante a vigência do contrato e em disponibilizá-las à autoridade de controlo competente, a pedido.
  5. Os parágrafos (a) a (c) não prejudicam a obrigação do importador de dados, nos termos da Cláusula 14(e) e da Cláusula 16, de informar prontamente o exportador de dados sempre que não puder cumprir estas Cláusulas.

15.2 Revisão da legalidade e minimização de dados

  1. O importador de dados concorda em rever a legalidade do pedido de divulgação, em particular se este se mantém dentro dos poderes conferidos à autoridade pública requerente, e em contestar o pedido se, após uma avaliação cuidadosa, concluir que existem motivos razoáveis para considerar que o pedido é ilegal ao abrigo das leis do país de destino, das obrigações aplicáveis ao abrigo do direito internacional e dos princípios de cortesia internacional. O importador de dados deverá, nas mesmas condições, esgotar as possibilidades de recurso. Ao contestar um pedido, o importador de dados procurará obter medidas provisórias com vista a suspender os efeitos do pedido até que a autoridade judicial competente se tenha pronunciado sobre o mérito da causa. Não divulgará os dados pessoais solicitados até que tal lhe seja exigido ao abrigo das regras processuais aplicáveis. Estes requisitos não prejudicam as obrigações do importador de dados ao abrigo da Cláusula 14(e).
  2. O importador de dados concorda em documentar a sua avaliação jurídica e qualquer contestação ao pedido de divulgação e, na medida do permitido pelas leis do país de destino, disponibilizar a documentação ao exportador de dados. Deverá também disponibilizá-la à autoridade de controlo competente, a pedido.
  3. O importador de dados concorda em fornecer a quantidade mínima de informação permitida ao responder a um pedido de divulgação, com base numa interpretação razoável do pedido.

SEÇÃO IV – DISPOSIÇÕES FINAIS

Cláusula 16

Descumprimento das Cláusulas e rescisão

  1. O importador de dados informará prontamente o exportador de dados se não puder cumprir estas Cláusulas, por qualquer motivo.
  2. Caso o importador de dados viole estas Cláusulas ou não possa cumpri-las, o exportador de dados suspenderá a transferência de dados pessoais para o importador de dados até que a conformidade seja novamente garantida ou o contrato seja rescindido. Isso sem prejuízo da Cláusula 14(f).
  3. O exportador de dados terá o direito de rescindir o contrato, no que diz respeito ao tratamento de dados pessoais sob estas Cláusulas, quando:
    1. o exportador de dados tiver suspendido a transferência de dados pessoais para o importador de dados nos termos do parágrafo (b) e a conformidade com estas Cláusulas não for restaurada em um prazo razoável e, em qualquer caso, no prazo de um mês após a suspensão;
    2. o importador de dados estiver em violação substancial ou persistente destas Cláusulas; ou
    3. o importador de dados não cumprir uma decisão vinculativa de um tribunal competente ou autoridade de controle em relação às suas obrigações sob estas Cláusulas.
    Nesses casos, ele informará a autoridade de controle competente sobre tal descumprimento. Quando o contrato envolver mais de duas Partes, o exportador de dados poderá exercer esse direito de rescisão apenas em relação à Parte relevante, a menos que as Partes tenham acordado de outra forma.
  4. Para o Módulo Dois: Os dados pessoais que tenham sido transferidos antes da rescisão do contrato nos termos do parágrafo (c) deverão, por escolha do exportador de dados, ser imediatamente devolvidos ao exportador de dados ou excluídos em sua totalidade. O mesmo se aplica a quaisquer cópias dos dados.

    O importador de dados certificará a exclusão dos dados ao exportador de dados. Até que os dados sejam excluídos ou devolvidos, o importador de dados continuará a garantir a conformidade com estas Cláusulas. No caso de leis locais aplicáveis ao importador de dados que proíbam a devolução ou exclusão dos dados pessoais transferidos, o importador de dados garante que continuará a garantir a conformidade com estas Cláusulas e tratará os dados apenas na medida e pelo tempo exigido por essa lei local.

  5. Qualquer uma das Partes poderá revogar seu acordo de estar vinculada a estas Cláusulas quando (i) a Comissão Europeia adotar uma decisão nos termos do Artigo 45(3) do Regulamento (UE) 2016/679 que cubra a transferência de dados pessoais aos quais estas Cláusulas se aplicam; ou (ii) o Regulamento (UE) 2016/679 se tornar parte do quadro jurídico do país para o qual os dados pessoais são transferidos. Isso sem prejuízo de outras obrigações aplicáveis ao tratamento em questão sob o Regulamento (UE) 2016/679.

Cláusula 17

Lei aplicável

MÓDULO DOIS: Transferência de controlador para operador

Estas Cláusulas serão regidas pela lei de um dos Estados-Membros da UE, desde que tal lei preveja direitos de terceiros beneficiários. As Partes concordam que esta será a lei da Espanha.

Cláusula 18

Escolha de foro e jurisdição

MÓDULO DOIS: Transferência de controlador para operador

  1. Qualquer litígio decorrente destas Cláusulas será resolvido pelos tribunais de um Estado-Membro da UE.
  2. As Partes concordam que esses serão os tribunais da Espanha.
  3. O titular dos dados também poderá instaurar processos judiciais contra o exportador de dados e/ou o importador de dados perante os tribunais do Estado-Membro em que tenha sua residência habitual.
  4. As Partes concordam em submeter-se à jurisdição de tais tribunais.

APÊNDICE

ANEXO I

MÓDULO DOIS: Transferência de controlador para operador

A. LISTA DAS PARTES

Exportador(es) de dados: O exportador de dados é o controlador de dados que celebrou um contrato de serviços com o importador de dados. A identidade e os detalhes de contato do exportador de dados estão detalhados no contrato de serviços do qual estas Cláusulas se tornaram parte vinculativa.

Importador(es) de dados:

Nome: PEGASUS BUSINESS INTELLIGENCE LLP
Endereço: Two Lincoln Centre
5420 LBJ Freeway, Suite 900
Dallas, TX 75240
Estados Unidos

O importador de dados é um fornecedor global líder de pagamentos B2B e soluções de inteligência de negócios para a indústria hoteleira localizado nos EUA; os detalhes de contato do importador de dados estão detalhados no contrato de serviços do qual estas Cláusulas se tornaram parte vinculativa.

B. DESCRIÇÃO DA TRANSFERÊNCIA

MÓDULO DOIS: Transferência de controlador para operador

Categorias de titulares de dados cujos dados pessoais são transferidos

Hóspedes de hotéis e pessoal de contato do exportador de dados.

Categorias de dados pessoais transferidos

Nome, Sobrenome e dados de Reserva de hóspedes de hotéis.

Dados de contato (endereço de e-mail, número de telefone) do pessoal de contato do exportador de dados.

Dados sensíveis transferidos (se aplicável) e restrições ou salvaguardas aplicadas que levem plenamente em consideração a natureza dos dados e os riscos envolvidos, tais como, por exemplo, limitação estrita de finalidade, restrições de acesso (incluindo acesso apenas para funcionários que tenham seguido treinamento especializado), manutenção de um registro de acesso aos dados, restrições para transferências subsequentes ou medidas de segurança adicionais.

A frequência da transferência (por exemplo, se os dados são transferidos de forma pontual ou contínua).

Os dados são transferidos de forma contínua.

Natureza do tratamento e finalidade da transferência de dados e tratamento posterior

No contexto das atividades que o operador de dados desenvolve em favor de seus clientes, ele poderá acessar certos dados pessoais, uma vez que o acesso é necessário para prestar os serviços contratados.

O escopo dos serviços está estabelecido no contrato de serviços executado entre o importador de dados e o exportador de dados, e os dados pessoais serão tratados pelo importador de dados como operador de dados para fornecer esses serviços e cumprir os termos do contrato de serviços e destas Cláusulas.

O período pelo qual os dados pessoais serão retidos ou, se isso não for possível, os critérios utilizados para determinar esse período

Os dados pessoais serão excluídos ou devolvidos mediante solicitação por escrito do exportador de dados, após o término da prestação dos serviços relevantes relacionados ao tratamento ou, se antes, assim que o tratamento de quaisquer dados pessoais pelo operador de dados não for mais necessário para o cumprimento das obrigações das partes sob o contrato de serviços executado entre o controlador de dados e o operador de dados, e as cópias existentes serão excluídas de forma segura.

Para transferências para (sub)operadores, especifique também o objeto, a natureza e a duração do tratamento

Para dados utilizados para emitir faturas na Itália e na Índia, o operador de dados interage com a Sovos para garantir que todos os requisitos regulatórios locais sejam atendidos.

A Flexential está fornecendo a plataforma de centro de dados, oferecendo serviços de colocation e recuperação de desastres para serviços da Onyx que não fazem parte de uma infraestrutura baseada em nuvem. As operações e centros de dados nos EUA são totalmente operados pela Flexential, enquanto as instalações de centros de dados baseadas na UE são operadas pela Equinix.

A Amazon Web Services (AWS) é a plataforma preferencial para serviços habilitados em nuvem fornecidos pela Onyx em um ambiente de nuvem privada (VPC). O Microsoft Azure também fornece serviços de nuvem, mas está limitado aos serviços InvoicePro.

Para o objeto, natureza e duração conforme referido acima.

C. AUTORIDADE DE CONTROLE COMPETENTE

MÓDULO DOIS: Transferência de controlador para operador

Identificar a(s) autoridade(s) de controle competente(s) de acordo com a Cláusula 13

A Autoridade Espanhola de Proteção de Dados

ANEXO II – MEDIDAS TÉCNICAS E ORGANIZACIONAIS, INCLUINDO MEDIDAS TÉCNICAS E ORGANIZACIONAIS PARA GARANTIR A SEGURANÇA DOS DADOS

Controle de Acesso às Áreas de Tratamento

O importador de dados implementa medidas adequadas para evitar que pessoas não autorizadas obtenham acesso ao equipamento de tratamento de dados (servidores de equipamentos de rede e hardware relacionado) onde os dados pessoais são tratados ou utilizados, incluindo:

  • Estabelecimento de áreas de segurança;
  • Proteção e restrição de caminhos de acesso;
  • Estabelecimento de autorizações de acesso para funcionários e terceiros, incluindo a respectiva documentação;
  • Todo o acesso ao centro de dados onde os dados pessoais estão hospedados é registrado, monitorado e rastreado; e
  • O centro de dados onde os dados pessoais estão hospedados é protegido por um sistema de alarme de segurança e outras medidas de segurança apropriadas

Controle de Acesso aos Sistemas de Tratamento de Dados

  • O importador de dados implementa medidas adequadas para evitar que seus sistemas de tratamento de dados sejam utilizados por pessoas não autorizadas, incluindo:
  • Uso de tecnologias de criptografia adequadas;
  • Identificação do terminal e/ou do usuário do terminal para o importador de dados/suboperador e sistemas de tratamento;
  • Bloqueio temporário automático do terminal do usuário se deixado ocioso, sendo necessária identificação e senha para reabrir;
  • Bloqueio temporário automático do ID do usuário quando várias senhas erradas são inseridas, arquivo de log de eventos, monitoramento de tentativas de invasão (alertas).

Controle de Acesso para Uso de Áreas Específicas dos Sistemas de Tratamento de Dados

O importador de dados/suboperador compromete-se a que as pessoas autorizadas a utilizar seu sistema de tratamento de dados só possam acessar os dados dentro do escopo e na medida coberta por sua respectiva permissão de acesso (autorização) e que os dados pessoais não possam ser lidos, copiados, modificados ou removidos sem autorização. Isso será realizado por meio de várias medidas, incluindo:

  • Políticas e treinamento de funcionários em relação aos direitos de acesso de cada funcionário aos dados pessoais;
  • Capacidade de monitoramento em relação a indivíduos que excluem, adicionam ou modificam os dados pessoais;
  • Liberação de dados apenas para pessoas autorizadas, incluindo a atribuição de direitos de acesso e funções diferenciados; e
  • Uso de tecnologias de criptografia adequadas; e controle de arquivos, destruição controlada e documentada de dados

Controle de Disponibilidade

O importador de dados implementa medidas adequadas para garantir que os dados pessoais sejam protegidos contra destruição ou perda acidental, incluindo:

  • Redundância de infraestrutura; e
  • O backup é armazenado em um local alternativo e disponível para restauração em caso de falha do sistema primário;
  • Locais primários e secundários para failover de serviço completo.

Controle de Transmissão

O importador de dados implementa medidas adequadas para evitar que os dados pessoais sejam lidos, copiados, alterados ou excluídos por partes não autorizadas durante a transmissão dos mesmos ou durante o transporte dos suportes de dados. Isso é realizado por meio de várias medidas, incluindo:

  • Uso de firewall adequado, VPN e tecnologias de criptografia para proteger os gateways e canais através dos quais os dados trafegam; e
  • Na medida do possível, todas as transmissões de dados são registradas, monitoradas e rastreadas.

Avaliações de Suboperadores e fornecedores

O importador de dados avalia todos os suboperadores e fornecedores para garantir que todos os dados pessoais sejam protegidos de acordo com as políticas de segurança do importador de dados e estejam em conformidade com o programa de segurança da informação do importador de dados, incluindo:

  • Avaliações anuais de fornecedores determinando o risco; e
  • Medidas de proteção de dados, incluindo certificações.

1. SEGURANÇA DO CENTRO DE DADOS E DA REDE

(a) Centros de Dados

  • Colocation (colo): O Importador de Dados utiliza um terceiro para hospedar instalações de centros de dados; os serviços de colocation fornecem alojamento físico seguro de servidores e conexões de rede, além de recursos redundantes de energia e resfriamento para proteger a infraestrutura.
  • Infraestrutura: O Importador de Dados mantém centros de dados distribuídos geograficamente. O Importador de Dados armazena todos os dados de produção em centros de dados fisicamente seguros.
  • Redundância: Os sistemas de infraestrutura foram projetados para eliminar pontos únicos de falha e minimizar o impacto de riscos ambientais antecipados. Circuitos duplos, switches, redes ou outros dispositivos necessários ajudam a fornecer essa redundância. Os Serviços são projetados para permitir que o Importador de Dados realize certos tipos de manutenção preventiva e corretiva sem interrupção. Todos os equipamentos e instalações ambientais possuem procedimentos documentados de manutenção preventiva que detalham o processo e a frequência de execução de acordo com as especificações do fabricante ou internas.
  • Energia: Os sistemas de energia elétrica do centro de dados são projetados para serem redundantes e mantíveis sem impacto nas operações contínuas, 24 horas por dia, 7 dias por semana. Na maioria dos casos, uma fonte de energia primária e uma alternativa, cada uma com capacidade igual, são fornecidas para componentes críticos de infraestrutura no centro de dados. A energia de reserva é fornecida por vários mecanismos, como baterias de fontes de alimentação ininterruptas (UPS), que fornecem proteção de energia consistentemente confiável durante quedas de tensão, apagões, sobretensão, subtensão e condições de frequência fora de tolerância. Se a energia da rede for interrompida, a energia de reserva é projetada para fornecer energia transitória ao centro de dados, em capacidade total, até que os sistemas de geradores a diesel assumam o controle. Os geradores a diesel são capazes de iniciar automaticamente em segundos para fornecer energia elétrica de emergência suficiente para operar o centro de dados em capacidade total, normalmente por um período de dias.
  • Continuidade de Negócios: O Importador de Dados replica dados em vários sistemas para ajudar a proteger contra destruição ou perda acidental. O Importador de Dados projetou e planeja e testa regularmente seus programas de planejamento de continuidade de negócios/recuperação de desastres.

(b) Redes e Transmissão

  • Transmissão de Dados: Os centros de dados são normalmente conectados por meio de links privados de alta velocidade para fornecer transferência de dados segura e rápida entre eles. Isso é projetado para evitar que os dados sejam lidos, copiados, alterados ou removidos sem autorização durante a transferência ou transporte eletrônico. Links dedicados entre os escritórios e os centros de dados são fornecidos usando SD-WAN. O Importador de Dados transfere dados por meio de protocolos padrão da Internet.
  • Superfície de Ataque Externa: O Importador de Dados utiliza múltiplas camadas de dispositivos de rede e detecção de intrusão para proteger sua superfície de ataque externa. O Importador de Dados considera potenciais vetores de ataque e incorpora tecnologias apropriadas e específicas em sistemas voltados para o exterior.
  • Detecção de Intrusão: A detecção de intrusão destina-se a fornecer informações sobre atividades de ataque em andamento e fornecer informações adequadas para responder a incidentes. A detecção de intrusão do Importador de Dados envolve o controle rigoroso do tamanho e da composição da superfície de ataque do Importador de Dados por meio de medidas preventivas e o emprego de controles de detecção inteligentes nos pontos de entrada de dados.
  • Resposta a Incidentes: O Importador de Dados monitora uma variedade de canais de comunicação para incidentes de segurança, e o pessoal de segurança do Importador de Dados reagirá prontamente a incidentes conhecidos.
  • Tecnologias de Criptografia: O Importador de Dados disponibiliza criptografia HTTPS (também referida como conexão TLS) para criptografia de dados em trânsito; configurações (cifras) e protocolos de melhores práticas do setor são utilizados e configurados conforme apropriado. Quando os dados são transferidos usando FTP, um canal seguro é utilizado (SFTP ou FTPS).
  • Segurança de Aplicativos: O Importador de Dados desenvolveu e implementou um programa de desenvolvimento seguro, baseado no Open Web Application Security Project (OWASP) e no Microsoft Security Development Lifecycle. Após a conclusão, os desenvolvimentos de produtos sensíveis são testados para garantir que a segurança do aplicativo tenha sido tratada de forma completa e adequada.
  • Monitoramento de vulnerabilidades por meio de testes de invasão: O Importador de Dados realiza pelo menos dois testes de invasão de Segurança da Informação anuais, que são conduzidos por empresas de segurança da informação credenciadas e completamente independentes. O Importador de Dados realiza varreduras de avaliação de vulnerabilidade usando ferramentas de terceiros pelo menos uma vez por mês e após qualquer grande mudança de infraestrutura em nosso ambiente de produção.

2. CONTROLES DE ACESSO E DE LOCAL

(a) Controles de Local

  • Operação de Segurança do Centro de Dados no Local: Os centros de dados do Importador de Dados mantêm uma operação de segurança no local responsável por todas as funções físicas de segurança do centro de dados 24 horas por dia, 7 dias por semana. O pessoal da operação de segurança no local monitora as câmeras de TV de circuito fechado (CCTV) e todos os sistemas de alarme. O pessoal da operação de segurança no local realiza patrulhas internas e externas do centro de dados regularmente.
  • Procedimentos de Acesso ao Centro de Dados: O Importador de Dados mantém procedimentos formais de acesso para permitir o acesso físico aos centros de dados. Os centros de dados estão alojados em instalações que exigem acesso por cartão eletrônico, com alarmes que estão vinculados à operação de segurança no local. Todos os que entram no centro de dados devem se identificar, bem como mostrar comprovante de identidade para as operações de segurança no local. Apenas funcionários, contratados e visitantes autorizados têm permissão para entrar nos centros de dados. Apenas funcionários e contratados autorizados têm permissão para solicitar acesso por cartão eletrônico a essas instalações. As solicitações de acesso por cartão eletrônico ao centro de dados devem ser feitas por e-mail e exigem a aprovação dos gerentes do centro de dados. Todos os outros que entrarem e necessitarem de acesso temporário ao centro de dados devem: (i) obter aprovação antecipada dos gerentes do centro de dados para o centro de dados específico e áreas internas que desejam visitar; (ii) registrar-se nas operações de segurança no local; e (iii) referenciar um registro de acesso ao centro de dados aprovado identificando o indivíduo como aprovado.
  • Dispositivos de Segurança do Centro de Dados no Local: Os centros de dados do Importador de Dados utilizam um cartão eletrônico e um sistema de controle de acesso biométrico que está vinculado a um alarme do sistema. O sistema de controle de acesso monitora e registra o cartão eletrônico de cada indivíduo e quando eles acessam portas perimetrais, expedição e recebimento, e outras áreas críticas. Atividades não autorizadas e tentativas de acesso malsucedidas são registradas pelo sistema de controle de acesso e investigadas, conforme apropriado. O acesso autorizado em todas as operações comerciais e centros de dados é restrito com base em zonas e nas responsabilidades profissionais do indivíduo. As portas corta-fogo nos centros de dados possuem alarme. Câmeras de CCTV estão em operação tanto dentro quanto fora dos centros de dados. O posicionamento das câmeras foi projetado para cobrir áreas estratégicas, incluindo, entre outras, o perímetro, as portas do edifício do centro de dados e a expedição/recebimento. O pessoal das operações de segurança no local gerencia o equipamento de monitoramento, gravação e controle de CCTV. Cabos seguros em todos os centros de dados conectam o equipamento de CCTV. As câmeras gravam no local por meio de gravadores de vídeo digital 24 horas por dia, 7 dias por semana. Os registros de vigilância são retidos por no mínimo 30 dias com base nos requisitos de atividade e conformidade.

(b) Controles de Acesso

  • Pessoal de Segurança de Infraestrutura: O Importador de Dados possui e mantém uma política de segurança para seu pessoal e exige treinamento de segurança como parte do pacote de treinamento para seu pessoal. O pessoal de infraestrutura e segurança do Importador de Dados é responsável pelo monitoramento contínuo da infraestrutura de segurança do Importador de Dados, pela revisão dos Serviços e pela resposta a incidentes de segurança.
  • Controle de Acesso e Gestão de Privilégios: Os administradores do Exportador de Dados devem se autenticar por meio de um sistema de autenticação central ou por meio de um sistema de logon único para administrar os Serviços.
  • Políticas e Processos Internos de Acesso a Dados: As políticas e os processos internos de acesso a dados do Importador de Dados são projetados para evitar que pessoas e/ou sistemas não autorizados obtenham acesso a sistemas usados para tratar dados pessoais. O Importador de Dados projeta seus sistemas para: (i) permitir apenas que pessoas autorizadas acessem dados que estão autorizadas a acessar; e (ii) garantir que os dados pessoais não possam ser lidos, copiados, alterados ou removidos sem autorização durante o tratamento, uso e após o registro. Os sistemas são projetados para detectar qualquer acesso inadequado. O Importador de Dados utiliza um sistema de gerenciamento de acesso centralizado para controlar o acesso do pessoal aos servidores de produção e fornece acesso apenas a um número limitado de pessoal autorizado. O Active Directory, LDAP e Kerberos são projetados para fornecer ao Importador de Dados mecanismos de acesso seguros e flexíveis. Esses mecanismos são projetados para conceder apenas direitos de acesso aprovados a hosts do site, logs, dados e informações de configuração. O Importador de Dados exige o uso de IDs de usuário exclusivos, senhas fortes e autenticação de dois fatores, quando apropriado, para minimizar o potencial de uso não autorizado da conta. A concessão ou modificação de direitos de acesso baseia-se nas responsabilidades profissionais do pessoal autorizado; nos requisitos de deveres profissionais necessários para realizar tarefas autorizadas; e na base da necessidade de conhecimento. A concessão ou modificação de direitos de acesso também deve estar de acordo com as políticas internas de acesso a dados e o treinamento do Importador de Dados. As aprovações são gerenciadas por ferramentas de fluxo de trabalho que mantêm registros de auditoria de todas as alterações. O acesso aos sistemas é registrado para criar uma trilha de auditoria para fins de prestação de contas. Onde senhas são utilizadas para autenticação (por exemplo, login em estações de trabalho), são implementadas políticas de senha que seguem pelo menos as práticas padrão do setor. Esses padrões incluem restrições à reutilização de senhas e força de senha suficiente.

3. ARMAZENAMENTO E ELIMINAÇÃO DE DADOS

(a) Armazenamento de Dados

O Importador de Dados armazena dados em um ambiente multilocatário em servidores gerenciados/privados do Importador de Dados. A arquitetura do sistema de dados e arquivos é replicada entre vários centros de dados geograficamente dispersos. O Importador de Dados criptografa todos os dados em repouso; o Importador de Dados também isola logicamente os dados do Exportador de Dados, e o Exportador de Dados terá controle sobre políticas específicas de compartilhamento de dados.

(b) Eliminação de Dados

Discos contendo dados podem apresentar problemas de desempenho, erros ou falhas de hardware que levem à sua desativação. Cada Disco Desativado está sujeito a uma série de processos de destruição de dados antes de sair das instalações do Importador de Dados, seja para reutilização ou destruição. Os Discos Desativados são apagados em um processo de várias etapas e a conclusão é verificada. Os resultados do apagamento são registrados pelo número de série do Disco Desativado para fins de rastreamento.

4. SEGURANÇA PESSOAL

O pessoal do Importador de Dados deve se conduzir de maneira consistente com as diretrizes da empresa em relação à confidencialidade, ética comercial, uso apropriado e padrões profissionais. O Importador de Dados realiza verificações de antecedentes razoavelmente apropriadas na medida legalmente permitida e de acordo com a legislação trabalhista local e os regulamentos estatutários aplicáveis.

O pessoal é obrigado a assinar um acordo de confidencialidade e deve confirmar o recebimento e o cumprimento das políticas de segurança e privacidade do Importador de Dados. O pessoal recebe treinamento de segurança. O pessoal que lida com dados de clientes deve cumprir requisitos adicionais apropriados à sua função. O pessoal do Importador de Dados não tratará dados de clientes sem autorização.

5. SEGURANÇA DO SUBOPERADOR

Antes de integrar Suboperadores, o Importador de Dados realiza uma auditoria das práticas de segurança e privacidade dos Suboperadores para garantir que eles forneçam um nível de segurança e privacidade apropriado ao seu acesso aos dados e ao escopo dos serviços que foram contratados para prestar.

ANEXO III – LISTA DE SUBOPERADORES

Sovos: A Sovos está possibilitando a emissão de faturas do Processo Onyx InvoicePro CTC para a Itália e a Índia.

Kurt D. Ring
Global Alliances Manager | Sovos Compliance
O: 978.527.1276 | M: 617.877.2115
200 Ballardvale Street, Building 1, 4th Floor, Wilmington MA 01887

Flexential: A Flexential fornece a plataforma de centro de dados, oferecendo serviços de colocation e recuperação de desastres.

Derek Sieburg | Sr. Customer Success Manager | Flexential
O: 720.354.3758 | [email protected] | www.flexential.com [email protected]
A/C: Privacy & Security Officer, Flexential Corp., 8809 Lenox Pointe Drive, Suite G, Charlotte, NC 28273
https://www.flexential.com/flexential-gdpr-policy-statement

Equinix: A Equinix fornece instalações e infraestrutura de centro de dados para serviços localizados na UE fornecidos pela Flexential

[email protected] +1.866.977.3749
https://www.equinix.nl/about/legal/privacy

Amazon Web Services (AWS): A AWS é a plataforma preferencial para serviços habilitados em nuvem fornecidos pela Onyx. Para mais detalhes, consulte o DPA do GDPR da AWS, que está incorporado aos Termos de Serviço da AWS

https://aws.amazon.com/privacy/

Microsoft Azure: O Azure fornece serviços de nuvem para hospedar o frontend do Onyx InvoicePro. Consulte o Adendo de Proteção de Dados dos Serviços Online da Microsoft para obter mais informações.

Microsoft Corporation
A/C: Chief Privacy Officer
1 Microsoft Way
Redmond, WA 98052 USA

ADENDO DE TRANSFERÊNCIA INTERNACIONAL DE DADOS ÀS CLÁUSULAS CONTRATUAIS PADRÃO DA COMISSÃO DA UE

PARTE 1: TABELAS

Tabela 1: Partes

Data de início Data de Vigência do Adendo de Tratamento de Dados
As Partes Exportador (quem envia a Transferência Restrita) Importador (quem recebe a Transferência Restrita)
Detalhes das Partes Ver Cronograma 1, Anexo 1, Seção A Ver Cronograma 1, Anexo 1, Seção A
Contato Principal Ver Cronograma 1, Anexo 1, Seção A Ver Cronograma 1, Anexo 1, Seção A
Assinatura (se necessário para os fins da Seção 2) A execução do Adendo de Tratamento de Dados na Data de Vigência é considerada a execução deste Adendo A execução do Adendo de Tratamento de Dados na Data de Vigência é considerada a execução deste Adendo

Tabela 2: SCCs Selecionadas, Módulos e Cláusulas Selecionadas

Adendo EU SCCs A versão das EU SCCs Aprovadas à qual este Adendo está anexado, detalhada abaixo, incluindo as Informações do Apêndice:

Data: Data de Vigência do Adendo de Tratamento de Dados
Referência (se houver): Nenhuma
Outro identificador (se houver): Nenhum

Tabela 3: Informações do Apêndice

“Informações do Apêndice” significa as informações que devem ser fornecidas para os módulos selecionados conforme estabelecido no Apêndice das EU SCCs Aprovadas (exceto as Partes), e que para este Adendo estão estabelecidas em:

Anexo 1A: Lista das Partes: Ver Cronograma 1, Anexo 1, Seção A

Anexo 1B: Descrição da Transferência: Ver Cronograma 1, Anexo 1, Seção B

Anexo II: Medidas técnicas e organizacionais, incluindo medidas técnicas e organizacionais para garantir a segurança dos dados: Ver Cronograma 1, Anexo II

Anexo III: Lista de Suboperadores (apenas Módulos 2 e 3): Ver Cronograma 1, Anexo III

Tabela 4: Encerramento deste Adendo quando o Adendo Aprovado for Alterado

Encerramento deste Adendo quando o Adendo Aprovado for alterado Quais Partes podem encerrar este Adendo conforme estabelecido na Seção 19:

☐ Importador
☐ Exportador
☐ Nenhuma das Partes

PARTE 2: CLÁUSULAS OBRIGATÓRIAS

Celebração deste Adendo

  1. Cada Parte concorda em estar vinculada aos termos e condições estabelecidos neste Adendo, em troca de a outra Parte também concordar em estar vinculada a este Adendo.
  2. Embora o Anexo 1A e a Cláusula 7 das EU SCCs Aprovadas exijam a assinatura das Partes, para fins de realização de Transferências Restritas, as Partes podem celebrar este Adendo de qualquer forma que as torne legalmente vinculativas para as Partes e permita que os titulares dos dados exerçam seus direitos conforme estabelecido neste Adendo. A celebração deste Adendo terá o mesmo efeito que a assinatura das EU SCCs Aprovadas e de qualquer parte das EU SCCs Aprovadas.

Interpretação deste Adendo

  1. Quando este Adendo utilizar termos que estão definidos nas EU SCCs Aprovadas, esses termos terão o mesmo significado que nas EU SCCs Aprovadas. Além disso, os seguintes termos têm os seguintes significados:
Adendo Este Adendo de Transferência Internacional de Dados, que é composto por este Adendo incorporando o Adendo EU SCCs.
Adendo EU SCCs A(s) versão(ões) das EU SCCs Aprovadas à(s) qual(is) este Adendo está anexado, conforme estabelecido na Tabela 2, incluindo as Informações do Apêndice.

O Adendo EU SCCs está incluído no Cronograma 1 do Adendo de Tratamento de Dados.
Informações do Apêndice Conforme estabelecido na Tabela 3.
Salvaguardas Apropriadas O padrão de proteção sobre os dados pessoais e os direitos dos titulares dos dados, que é exigido pelas Leis de Proteção de Dados do Reino Unido quando você está realizando uma Transferência Restrita baseando-se em cláusulas padrão de proteção de dados sob o Artigo 46(2)(d) do UK GDPR.
Adendo Aprovado O modelo de Adendo emitido pelo ICO e apresentado ao Parlamento de acordo com a seção 119A da Lei de Proteção de Dados de 2018 em 28 de janeiro de 2022, conforme revisado sob a Seção 18.
EU SCCs Aprovadas As Cláusulas Contratuais Padrão estabelecidas no Anexo da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021.
ICO O Comissário de Informação (Information Commissioner).
Transferência Restrita Uma transferência que é coberta pelo Capítulo V do UK GDPR.
UK O Reino Unido da Grã-Bretanha e Irlanda do Norte.
Leis de Proteção de Dados do Reino Unido Todas as leis relativas à proteção de dados, ao tratamento de dados pessoais, à privacidade e/ou às comunicações eletrônicas em vigor periodicamente no Reino Unido, incluindo o UK GDPR e a Lei de Proteção de Dados de 2018.
UK GDPR Conforme definido na seção 3 da Lei de Proteção de Dados de 2018.
  1. Este Adendo deve sempre ser interpretado de maneira consistente com as Leis de Proteção de Dados do Reino Unido e de forma que cumpra a obrigação das Partes de fornecer as Salvaguardas Apropriadas.
  2. Se as disposições incluídas no Adendo EU SCCs alterarem as SCCs Aprovadas de qualquer forma que não seja permitida sob as EU SCCs Aprovadas ou o Adendo Aprovado, tal(is) alteração(ões) não será(ão) incorporada(s) neste Adendo e a disposição equivalente das EU SCCs Aprovadas ocupará seu lugar.
  3. Se houver qualquer inconsistência ou conflito entre as Leis de Proteção de Dados do Reino Unido e este Adendo, as Leis de Proteção de Dados do Reino Unido prevalecerão.
  4. Se o significado deste Adendo for incerto ou se houver mais de um significado, o significado que mais se alinhar com as Leis de Proteção de Dados do Reino Unido prevalecerá.
  5. Quaisquer referências à legislação (ou disposições específicas da legislação) significam essa legislação (ou disposição específica) conforme ela possa mudar ao longo do tempo. Isso inclui os casos em que essa legislação (ou disposição específica) tenha sido consolidada, reeditada e/ou substituída após a celebração deste Adendo.

Hierarquia

  1. Embora a Cláusula 5 das EU SCCs Aprovadas estabeleça que estas prevalecem sobre todos os acordos relacionados entre as partes, as partes concordam que, para Transferências Restritas, a hierarquia na Seção 10 prevalecerá.
  2. Onde houver qualquer inconsistência ou conflito entre o Adendo Aprovado e o Adendo EU SCCs (conforme aplicável), o Adendo Aprovado prevalece sobre o Adendo EU SCCs, exceto onde (e na medida em que) os termos inconsistentes ou conflitantes do Adendo EU SCCs forneçam maior proteção para os titulares dos dados, caso em que esses termos prevalecerão sobre o Adendo Aprovado.
  3. Onde este Adendo incorporar o Adendo EU SCCs que foram celebrados para proteger transferências sujeitas ao Regulamento Geral de Proteção de Dados (UE) 2016/679, as Partes reconhecem que nada neste Adendo impacta esses Adendos EU SCCs.

Incorporação e alterações às EU SCCs

  1. Este Adendo incorpora o Adendo EU SCCs, que são alterados na medida necessária para que:
    1. juntos, eles operem para transferências de dados feitas pelo exportador de dados para o importador de dados, na medida em que as Leis de Proteção de Dados do Reino Unido se apliquem ao tratamento do exportador de dados ao realizar essa transferência de dados, e forneçam Salvaguardas Apropriadas para essas transferências de dados;
    2. as Seções 9 a 11 prevaleçam sobre a Cláusula 5 (Hierarquia) do Adendo EU SCCs; e
    3. este Adendo (incluindo o Adendo EU SCCs nele incorporado) seja (1) regido pelas leis da Inglaterra e País de Gales e (2) qualquer litígio dele decorrente seja resolvido pelos tribunais da Inglaterra e País de Gales, em cada caso, a menos que as leis e/ou tribunais da Escócia ou da Irlanda do Norte tenham sido expressamente selecionados pelas Partes.
  2. A menos que as Partes tenham acordado emendas alternativas que atendam aos requisitos da Seção 12, as disposições da Seção 15 serão aplicadas.
  3. Nenhuma emenda às CCE da UE Aprovadas poderá ser feita, exceto para atender aos requisitos da Seção 12.
  4. São feitas as seguintes emendas ao Adendo às CCE da UE (para fins da Seção 12):
    1. Referências às “Cláusulas” significam este Adendo, incorporando o Adendo às CCE da UE;
    Na Cláusula 2, exclua as palavras:

    “e, com relação às transferências de dados de controladores para operadores e/ou de operadores para operadores, cláusulas contratuais padrão nos termos do Artigo 28(7) do Regulamento (UE) 2016/679”;

    1. A Cláusula 6 (Descrição da(s) transferência(s)) é substituída por:

    “Os detalhes da(s) transferência(s) e, em particular, as categorias de dados pessoais que são transferidos e a(s) finalidade(s) para as quais são transferidos são aqueles especificados no Anexo I.B, onde as Leis de Proteção de Dados do Reino Unido se aplicam ao processamento do exportador de dados ao realizar essa transferência.”;

    1. A Cláusula 8.7(i) do Módulo 1 é substituída por:

    “seja para um país que se beneficie de regulamentos de adequação nos termos da Seção 17A do GDPR do Reino Unido que cubra a transferência subsequente”;

    1. A Cláusula 8.8(i) dos Módulos 2 e 3 é substituída por:

    “a transferência subsequente seja para um país que se beneficie de regulamentos de adequação nos termos da Seção 17A do GDPR do Reino Unido que cubra a transferência subsequente;”

    1. Referências ao “Regulamento (UE) 2016/679”, ao “Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados)” e a “esse Regulamento” são todas substituídas por “Leis de Proteção de Dados do Reino Unido”. Referências a Artigo(s) específico(s) do “Regulamento (UE) 2016/679” são substituídas pelo Artigo ou Seção equivalente das Leis de Proteção de Dados do Reino Unido;
    2. Referências ao Regulamento (UE) 2018/1725 são removidas;
    3. Referências à “União Europeia”, “União”, “UE”, “Estado-Membro da UE”, “Estado-Membro” e “UE ou Estado-Membro” são todas substituídas pelo “Reino Unido”;
    4. A referência à “Cláusula 12(c)(i)” na Cláusula 10(b)(i) do Módulo um é substituída por “Cláusula 11(c)(i)”;
    5. A Cláusula 13(a) e a Parte C do Anexo I não são utilizadas;
    6. A “autoridade de controle competente” e a “autoridade de controle” são ambas substituídas pelo “Information Commissioner”;
    7. Na Cláusula 16(e), a subseção (i) é substituída por:

    “o Secretário de Estado estabeleça regulamentos nos termos da Seção 17A da Lei de Proteção de Dados de 2018 que cubram a transferência de dados pessoais aos quais estas cláusulas se aplicam;”;

    1. A Cláusula 17 é substituída por:

    “Estas Cláusulas são regidas pelas leis da Inglaterra e do País de Gales.”;

    1. A Cláusula 18 é substituída por:

    “Qualquer disputa decorrente destas Cláusulas será resolvida pelos tribunais da Inglaterra e do País de Gales. O titular dos dados também poderá instaurar processos judiciais contra o exportador de dados e/ou o importador de dados perante os tribunais de qualquer país do Reino Unido. As Partes concordam em submeter-se à jurisdição de tais tribunais.”; e

    1. As notas de rodapé das CCE da UE Aprovadas não fazem parte do Adendo, exceto pelas notas de rodapé 8, 9, 10 e 11.

Emendas a este Adendo

  1. As Partes podem concordar em alterar as Cláusulas 17 e/ou 18 do Adendo às CCE da UE para se referirem às leis e/ou tribunais da Escócia ou da Irlanda do Norte.
  2. Se as Partes desejarem alterar o formato das informações incluídas na Parte 1: Tabelas do Adendo Aprovado, poderão fazê-lo mediante acordo por escrito, desde que a alteração não reduza as Salvaguardas Adequadas.
  3. De tempos em tempos, o ICO poderá emitir um Adendo Aprovado revisado que:
    1. faça alterações razoáveis e proporcionais ao Adendo Aprovado, incluindo a correção de erros no Adendo Aprovado; e/ou
    2. reflita alterações nas Leis de Proteção de Dados do Reino Unido;
    O Adendo Aprovado revisado especificará a data de início a partir da qual as alterações ao Adendo Aprovado entrarão em vigor e se as Partes precisam revisar este Adendo, incluindo as Informações do Apêndice. Este Adendo é automaticamente alterado conforme estabelecido no Adendo Aprovado revisado a partir da data de início especificada.
  4. Se o ICO emitir um Adendo Aprovado revisado nos termos da Seção 18, se qualquer Parte selecionada na Tabela 4 “Rescisão do Adendo quando o Adendo Aprovado for alterado” tiver, como resultado direto das alterações no Adendo Aprovado, um aumento substancial, desproporcional e demonstrável em:
    1. seus custos diretos de cumprimento de suas obrigações nos termos do Adendo; e/ou
    2. seu risco nos termos do Adendo,
    e, em qualquer dos casos, tenha primeiro tomado medidas razoáveis para reduzir esses custos ou riscos de modo que não sejam substanciais e desproporcionais, então essa Parte poderá rescindir este Adendo ao final de um período de aviso prévio razoável, mediante notificação por escrito desse período à outra Parte antes da data de início do Adendo Aprovado revisado.
  5. As Partes não precisam do consentimento de terceiros para fazer alterações neste Adendo, mas quaisquer alterações devem ser feitas de acordo com seus termos.

CLÁUSULAS OBRIGATÓRIAS ALTERNATIVAS DA PARTE 2:

Cláusulas Obrigatórias Parte 2: Cláusulas Obrigatórias do Adendo Aprovado, sendo o modelo de Adendo B.1.0 emitido pelo ICO e apresentado ao Parlamento de acordo com o art. 119A da Lei de Proteção de Dados de 2018 em 28 de janeiro de 2022, conforme revisado nos termos da Seção 18 dessas Cláusulas Obrigatórias.