Skip to content

Acordo de Processamento de Dados

English Version

Este Acordo de Processamento de Dados ("APD") é celebrado entre o Proprietário, conforme definido no Acordo ("Cliente") e a Bending Spoons US Inc. ("Fornecedor"). O Cliente e o Fornecedor podem ser referidos individualmente como "Parte" e coletivamente como "Partes". Em caso ocorra um conflito, a versão na língua inglesa será a regente.

Considerando que:

  1. O Cliente e o Fornecedor celebraram um acordo ("Acordo"), segundo o qual este último prestará serviços ao Cliente ("Serviço").
  2. Para prestar o Serviço, o Fornecedor processará determinados dados pessoais como operador de dados em nome do Cliente.
  3. As Partes concordam que as cláusulas 2 a 10 deste APD aplicam-se a qualquer processamento de Dados Pessoais realizado pelo Fornecedor como operador de dados. As atividades de processamento e os dados pessoais processados pelo Fornecedor em nome do Cliente estão descritos no Anexo I deste APD ("Descrição do Processamento em que o Fornecedor atua como operador de dados").
  4. As Partes concordam que a cláusula 11 deste APD aplica-se às operações de processamento realizadas pela Bending Spoons S.p.A., como empresa-mãe do Fornecedor ("Bending Spoons"), na sua qualidade de responsável autônomo pelo tratamento e para os seus próprios fins (conforme melhor descrito na cláusula 11 deste APD).
  5. As Partes celebram este APD, que é incorporado ao Acordo, a fim de garantir que cumpram a Lei de Privacidade Aplicável e de estabelecer salvaguardas e procedimentos para o processamento lícito de dados pessoais.

Assim sendo, as Partes acordam o seguinte:

1. Definições

Quando utilizados neste APD, os seguintes termos têm os seguintes significados.

  1. "Decisão de Adequação" significa uma decisão juridicamente vinculante emitida pela Comissão Europeia, permitindo a transferência de Dados Pessoais do EEE para um país terceiro que foi considerado adequado em termos de salvaguardas de proteção de dados.
  2. "Acordo" conforme definido no recital A.
  3. "Lei de Privacidade Aplicável" significa todas as leis e regulamentos de proteção de dados aplicáveis, incluindo, entre outros, o Regulamento (UE) 2016/679 ("RGPD") e a Lei de Privacidade do Consumidor da Califórnia, Cal. Civ. Code § 1798.100 et seq., e seus regulamentos de implementação ("CCPA").
  4. "Titular dos Dados" significa uma pessoa singular identificada ou identificável a quem os Dados Pessoais dizem respeito.
  5. "Direitos dos Titulares dos Dados" significa os direitos a que os Titulares dos Dados têm direito nos termos da Lei de Privacidade Aplicável, incluindo, entre outros, o direito de solicitar acesso, retificação ou eliminação de Dados Pessoais, de solicitar a limitação do Processamento relativo ao Titular dos Dados ou de se opor ao Processamento, bem como o direito à portabilidade dos dados.
  6. "EEE" significa o Espaço Econômico Europeu.
  7. "Dados Pessoais" significa os dados pessoais que o Fornecedor processa em nome do Cliente para prestar o Serviço.
  8. "Violação de Dados Pessoais" significa uma violação de segurança que leva à destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais transmitidos, armazenados ou de outra forma processados.
  9. "Processamento" significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais ou sobre conjuntos de Dados Pessoais, tais como recolha, registo, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, alinhamento ou combinação, limitação, eliminação ou destruição.
  10. "Serviço" significa os serviços e atividades regulados pelo Acordo.
  11. "Cláusulas Contratuais Padrão" significa as cláusulas contratuais padrão adotadas pela Comissão Europeia nos termos da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, sobre cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, disponíveis no seguinte link: https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:32021D0914&from=PT.
  12. "Suboperador" significa uma entidade contratada pelo Fornecedor para auxiliá-lo no Processamento de Dados Pessoais (ou que realize qualquer Processamento de Dados Pessoais) no cumprimento das obrigações do Fornecedor nos termos do APD.
  13. "Mecanismos de Transferência" significa uma Decisão de Adequação emitida pela Comissão Europeia que permite a transferência de dados pessoais do EEE para um país terceiro cujo direito interno preveja um nível adequado de proteção dos dados pessoais. Quando tal Decisão de Adequação não estiver disponível ou em vigor, esta definição refere-se às Cláusulas Contratuais Padrão, bem como às regras vinculativas para as empresas (BCRs) aprovadas por uma Autoridade de Supervisão competente.
2. Obrigações do Cliente
  1. O Cliente concorda que, para que o Fornecedor preste o Serviço, o Cliente deverá fornecer ao Fornecedor os Dados Pessoais.
  2. O Cliente é responsável por avaliar e garantir que o processamento de Dados Pessoais seja legítimo e esteja em conformidade com a Lei de Privacidade Aplicável.
  3. O Cliente declara e garante que possui uma base jurídica adequada para processar e divulgar Dados Pessoais ao Fornecedor como parte da prestação do Serviço.
  4. O Cliente declara e garante que cumpre integralmente a Lei de Privacidade Aplicável, indenizando o Fornecedor contra todos os danos, custos e perdas incorridos em resultado de qualquer violação pelo Cliente das disposições da Lei de Privacidade Aplicável.
  5. É da responsabilidade do Cliente fornecer instruções escritas ao Fornecedor. O Cliente garante que quaisquer instruções fornecidas estão em conformidade com a Lei de Privacidade Aplicável. As instruções verbais emitidas pelo Cliente ao Fornecedor devem ser confirmadas por escrito sem demora, mas em qualquer caso no prazo de 5 dias úteis após a emissão das instruções verbais.
3. Obrigações do Fornecedor

O Fornecedor concorda em:

  1. Garantir a confidencialidade dos Dados Pessoais que conhece ou de que toma conhecimento no âmbito da prestação do Serviço ou do Acordo e cumprir as instruções fornecidas pelo Cliente.
  2. Processar os Dados Pessoais apenas de acordo com as instruções do Cliente, salvo se a lei exigir o contrário.
  3. Exceto conforme expressamente permitido pela Lei de Privacidade Aplicável, não reter, utilizar, divulgar ou de outra forma processar Dados Pessoais para qualquer finalidade que não as especificadas no Acordo ou neste APD.
  4. Limitar a recolha, utilização, retenção e divulgação de Dados Pessoais a atividades razoavelmente necessárias e proporcionais para atingir o processamento estabelecido neste APD e no Acordo, e não processar os Dados Pessoais de forma incompatível com essas finalidades.
  5. Na medida em que a CCPA se aplique ao processamento de Dados Pessoais, salvo se de outra forma permitido pela Lei de Privacidade Aplicável, o Fornecedor não deverá: (i) "vender" ou "partilhar" Dados Pessoais na aceção da CCPA; e (ii) reter, utilizar ou divulgar Dados Pessoais (a) para qualquer finalidade que não seja a de executar, apoiar e melhorar o Serviço, ou (b) fora da relação comercial direta entre o Fornecedor e o Cliente. O Fornecedor notificará o Cliente caso determine que já não consegue cumprir as suas obrigações ao abrigo da CCPA.
  6. Em conformidade com a Lei de Privacidade Aplicável, implementar medidas operacionais, técnicas e organizacionais adequadas para garantir a confidencialidade, integridade e disponibilidade dos Dados Pessoais e para eliminar ou, em qualquer caso, minimizar qualquer risco de destruição ou perda de dados, seja ou não acidental, e de processamento não autorizado ou não conforme, tendo em conta (1) o estado atual da arte e o progresso técnico, (2) os riscos associados aos dados processados e (3) a natureza dos dados. O Fornecedor adota pelo menos as medidas descritas no seguinte link.
  7. Cooperar e auxiliar o Cliente no cumprimento das suas obrigações ao abrigo da Lei de Privacidade Aplicável, incluindo, entre outras, a assistência em avaliações de impacto sobre a proteção de dados, auditorias e consultas a organismos reguladores, tendo em conta a natureza do processamento e as informações disponíveis para o Fornecedor.
  8. Fornecer ao pessoal autorizado a processar Dados Pessoais instruções sobre as operações a realizar em conformidade com as obrigações do Fornecedor ao abrigo deste APD, garantindo que as instruções fornecidas sejam devidamente observadas, e que o pessoal autorizado esteja sujeito a uma obrigação de confidencialidade adequada.
  9. Cooperar de boa-fé com o Cliente para garantir o cumprimento deste APD, auxiliar o Cliente no cumprimento das suas obrigações ao abrigo da Lei de Privacidade Aplicável e disponibilizar ao Cliente todas as informações necessárias para demonstrar o cumprimento da Lei de Privacidade Aplicável.
  10. Notificar o Cliente, salvo proibição legal, após tomar conhecimento de qualquer comunicação com a Autoridade de Supervisão relevante, tribunais, autoridades policiais ou outras autoridades públicas em relação ao processamento de Dados Pessoais regulado por este APD.
  11. Informar imediatamente o Cliente quando, na opinião do Fornecedor, uma instrução recebida do Cliente violar a Lei de Privacidade Aplicável.
  12. Auxiliar o Cliente com medidas técnicas e organizacionais adequadas para cumprir todos os pedidos de Direitos dos Titulares dos Dados que o Cliente possa receber, nos termos da Cláusula 6 deste APD.
  13. Nomear um encarregado de proteção de dados, quando exigido pela Lei de Privacidade Aplicável.
4. Autorização para Subprocessamento
  1. O Cliente reconhece, concorda e consente que, para o único e exclusivo fim de prestação do Serviço e sempre sujeito ao cumprimento dos termos deste APD, os Dados Pessoais podem ser processados pelo Fornecedor e pelos seus Suboperadores.
  2. O Cliente autoriza o Fornecedor a contratar Suboperadores, sujeito às condições de que o Fornecedor:
    1. celebra um acordo escrito com o Suboperador contendo as mesmas obrigações estabelecidas neste APD ou, em qualquer caso, garante que o Suboperador oferece garantias não inferiores às oferecidas pelo Fornecedor neste APD;
    2. avalia o Suboperador e permanece responsável pelos atos ou omissões do Suboperador no que diz respeito às suas obrigações ao abrigo deste APD;
    3. disponibiliza uma lista dos Suboperadores mediante pedido do Cliente e no seguinte link. O Fornecedor atualizará a lista para refletir qualquer adição ou substituição de Suboperadores.
  3. O Cliente verificará periodicamente a lista e poderá razoavelmente opor-se à utilização de um novo Suboperador por motivos legítimos, sujeito às cláusulas de rescisão e responsabilidade do Acordo. O Cliente reconhece que os Suboperadores são essenciais para a prestação do Serviço e que a objeção à utilização de um Suboperador pode impedir o Fornecedor de oferecer o Serviço ao Cliente.
5. Transferências de Dados Pessoais
  1. Se o Cliente for um Cliente do EEE e a prestação do Serviço implicar a transferência de Dados Pessoais do EEE para um país situado fora do EEE, as Partes basear-se-ão numa Decisão de Adequação emitida pela Comissão Europeia. Quando tal Decisão de Adequação não estiver disponível ou em vigor, as Partes concordam que as Cláusulas Contratuais Padrão são incorporadas a este APD por referência e aplicar-se-ão a essas transferências.
  2. Na medida em que as Cláusulas Contratuais Padrão se apliquem entre o Cliente e o Fornecedor, as Partes acordam no seguinte:
    1. apenas as cláusulas das Cláusulas Contratuais Padrão ao abrigo do MÓDULO DOIS ou do MÓDULO TRÊS serão aplicáveis (conforme aplicável);
    2. a Cláusula 7 das Cláusulas Contratuais Padrão é aplicável;
    3. ao abrigo da Cláusula 9(a) das Cláusulas Contratuais Padrão, a Opção 2 é aplicável, nos termos da Cláusula 4 deste APD;
    4. a cláusula opcional ao abrigo da Cláusula 11(a) das Cláusulas Contratuais Padrão não é aplicável;
    5. ao abrigo da Cláusula 17 das Cláusulas Contratuais Padrão, a Opção 1 é aplicável. Aplica-se o direito italiano;
    6. ao abrigo da Cláusula 18(b) das Cláusulas Contratuais Padrão, aplicam-se os tribunais de Milão, Itália;
    7. o Anexo 1 das Cláusulas Contratuais Padrão será considerado preenchido com as informações incluídas no Anexo I deste APD;
    8. o Anexo 2 das Cláusulas Contratuais Padrão será considerado preenchido com as informações incluídas na Cláusula 3.6 deste APD;
    9. o Anexo 3 das Cláusulas Contratuais Padrão será considerado preenchido com as informações incluídas na Cláusula 4.2 deste APD.
  3. Na medida em que a transferência de Dados Pessoais para fora do EEE ocorra entre o Fornecedor e um Suboperador, o Fornecedor compromete-se a celebrar as Cláusulas Contratuais Padrão com esse Suboperador, sendo aplicáveis apenas as cláusulas ao abrigo do MÓDULO TRÊS: Transferência do operador para o operador (com exclusão dos demais MÓDULOS).
6. Direitos dos Titulares dos Dados
  1. Tendo em conta a natureza do processamento, o Fornecedor auxiliará o Cliente no cumprimento das obrigações do Cliente, ao abrigo da Lei de Privacidade Aplicável, de responder a pedidos de exercício dos Direitos dos Titulares dos Dados, mediante medidas técnicas e organizacionais adequadas.
  2. O Fornecedor cooperará e auxiliará o Cliente na resposta a pedidos de exercício dos Direitos dos Titulares dos Dados de forma atempada e lícita, e fornecerá as informações que possam razoavelmente ser necessárias para responder aos Direitos dos Titulares dos Dados, ou de outra forma para permitir que o Cliente cumpra as suas obrigações relacionadas com os Direitos dos Titulares dos Dados ao abrigo da Lei de Privacidade Aplicável.
  3. No caso de o Fornecedor receber diretamente de um Titular dos Dados um pedido relacionado com Dados Pessoais, o Fornecedor notificará imediatamente o Cliente e, de acordo com as instruções do Cliente, atuará em nome do Cliente em conformidade com as instruções do Cliente para responder a tais pedidos.
7. Direito de Auditoria
  1. Mediante pedido escrito do Cliente, o Fornecedor fornecerá ao Cliente todas as informações relevantes e razoáveis sob a forma de documentação para demonstrar o cumprimento pelo Fornecedor das suas obrigações estabelecidas neste APD.
  2. Caso o Cliente demonstre que os documentos e informações fornecidos não demonstram suficientemente o cumprimento pelo Fornecedor, o Fornecedor permitirá e contribuirá para uma auditoria realizada pelo Cliente, disponibilizando ao Cliente documentos e informações adicionais razoavelmente solicitados que demonstrem o cumprimento pelo Fornecedor das suas obrigações estabelecidas neste APD.
  3. Uma auditoria será realizada durante os dias úteis normais e as horas normais de trabalho do Fornecedor, não mais de uma vez por ano ou se solicitada por uma autoridade competente, sujeita a aviso com 90 dias de antecedência. O Cliente garantirá a mínima perturbação para as atividades do Fornecedor. Mediante pedido do Fornecedor, o Cliente fornecerá uma cópia do relatório de auditoria ao Fornecedor.
  4. Quaisquer informações recolhidas sobre as atividades do Fornecedor estarão sujeitas a um acordo de confidencialidade específico entre as Partes.
  5. O Cliente suportará a totalidade dos custos de qualquer auditoria que seja solicitada, incluindo quaisquer custos em tempo e recursos incorridos pelo Fornecedor em virtude do pedido.
8. Violação de Dados Pessoais
  1. Após tomar conhecimento de uma violação dos Dados Pessoais do Cliente, o Fornecedor notificará o Cliente sem demora injustificada.
  2. No que diz respeito a cada violação de Dados Pessoais, o Fornecedor prestará toda a assistência ao Cliente que possa razoavelmente ser esperada, incluindo o fornecimento de informações adequadas sobre a violação, investigações de autoridades, limitação do impacto da violação e dos danos do Cliente em consequência da violação.
  3. O Fornecedor adotará prontamente as medidas corretivas adequadas para remediar uma violação de Dados Pessoais e cooperará com o Cliente para desenvolver e implementar um plano de ação para tratar da violação de Dados Pessoais em conformidade com a Lei de Privacidade Aplicável.
9. Responsabilidade e Indenização
  1. Em caso de violação deste APD pelo Fornecedor, o Cliente terá o direito de se retirar do Acordo sem custos e sem penalidades, a menos que o Fornecedor adote as medidas corretivas exigidas pelo Cliente.
  2. O Fornecedor concorda em manter recursos financeiros e humanos suficientes para cumprir as suas obrigações decorrentes do APD.
  3. O Cliente defenderá, indenizará e isentará de responsabilidade o Fornecedor (incluindo os seus funcionários e afiliadas) de e contra quaisquer reclamações, incidentes, responsabilidades, procedimentos, danos, perdas e despesas (incluindo honorários advocatícios), decorrentes de ou de qualquer forma relacionados com o acesso ou utilização do Serviço pelo Cliente ou a violação deste APD pelo Cliente.
10. Devolução e Eliminação de Dados Pessoais
  1. Três anos após o último uso do Serviço ou o vencimento da subscrição, conforme definido no Acordo, o que ocorrer mais tarde, o Fornecedor eliminará os Dados Pessoais, exceto na medida em que o Acordo ou as leis aplicáveis disponham de outra forma. Mediante pedido do Cliente, o Fornecedor oferecerá ao Cliente um meio para recuperar os Dados Pessoais antes de tal eliminação.
  2. O Cliente reembolsará o Fornecedor por quaisquer custos adicionais decorrentes da devolução dos Dados Pessoais.
11. Processamento adicional realizado pela Bending Spoons como Responsável Autônomo pelo Tratamento
  1. O Cliente autoriza a Bending Spoons a processar os Dados Pessoais envolvidos no Serviço para as seguintes finalidades autônomas adicionais na sua qualidade de responsável autônomo pelo tratamento: (1) estabelecer, exercer ou defender os direitos da Bending Spoons e das suas afiliadas, incluindo a comprovação da correta execução do Serviço, (2) cumprir as obrigações legais ou regulatórias aplicáveis ao processamento e retenção de dados a que a Bending Spoons está sujeita, (3) garantir e melhorar a qualidade e o correto funcionamento do Serviço, incluindo mediante análise, prevenção ou correção de falhas e bugs, bem como a utilização ilícita ou abusiva dos Serviços, e (4) fazer cumprir o Acordo e melhorar a segurança e a integridade do Serviço.
  2. Para qualquer comunicação e pedido relativo às operações de processamento realizadas nos termos desta cláusula, a Bending Spoons pode ser contactada no seguinte endereço: privacy-loomly@bendingspoons.com.
  3. Quando a cláusula 11.1. se aplica, o Cliente e a Bending Spoons comprometem-se a processar os Dados Pessoais em conformidade com a Lei de Privacidade Aplicável. Em particular, o Cliente e a Bending Spoons serão responsáveis por garantir que possuem uma base jurídica para recolher e processar os Dados Pessoais, prestarão informações transparentes aos titulares dos dados sobre o processamento, bem como realizarão quaisquer outras avaliações ou ações exigidas pela Lei de Privacidade Aplicável.
12. Disposições Diversas
  1. Todas as comunicações relativas a este APD e a questões de privacidade, dirigidas ao Fornecedor, devem ser endereçadas aos contactos especificados no Anexo I deste APD. Todas as comunicações relativas a este APD e a questões de privacidade, dirigidas ao Cliente, devem ser endereçadas ao endereço de e-mail fornecido pelo Cliente aquando da subscrição do Acordo. Cada Parte notificará a outra de qualquer atualização dos seus dados de contacto.
  2. Este APD permanecerá em vigor durante a vigência do Acordo e, em qualquer caso, durante a prestação do Serviço, caso em que cessará após a conclusão do Serviço, sujeito à Cláusula 10 (Devolução e Eliminação de Dados Pessoais).
  3. Quaisquer obrigações ao abrigo deste APD que, pela sua natureza, se destinem a subsistir após a cessação do Acordo continuarão a aplicar-se após a cessação.
  4. Os desvios e acréscimos a este Acordo só são válidos se acordados de forma expressa e por escrito.
  5. Todas as disposições deste APD fazem parte integrante da relação geral entre o Cliente e o Fornecedor. A execução deste APD não resultará no reconhecimento de qualquer contrapartida, remuneração, indemnização, compensação ou reembolso específicos em favor do Fornecedor, para além do estabelecido no Acordo.
  6. Em caso de conflito entre os termos deste APD e o Acordo, prevalecerá o APD.

ANEXO I – Descrição do Processamento em que o Fornecedor atua como operador de dados

A. LISTA DE PARTES

Exportador(es) de dados: Cliente

Nome:

Endereço:

Pessoa de contacto:

Atividades relevantes para os dados transferidos ao abrigo destas Cláusulas:

Função (responsável pelo tratamento/operador de dados):

Importador(es) de dados:

Nome: Bending Spoons US Inc.

Endereço: 169 Madison Ave, Suite 11218, New York, NY 10016

Pessoa de contacto: DPO ou Consultora Jurídica de Privacidade, privacy-loomly@bendingspoons.com

Atividades relevantes para os dados transferidos ao abrigo destas Cláusulas: atividades descritas na Secção B. abaixo

Função (responsável pelo tratamento/operador de dados): operador de dados

B. DESCRIÇÃO DO PROCESSAMENTO E DA TRANSFERÊNCIA

Categorias de titulares de dados cujos dados pessoais são transferidos

Titulares de dados mencionados ou representados nos conteúdos de redes sociais e calendários geridos pelos utilizadores, e proprietários das contas ligadas à conta Loomly.

Categorias de dados pessoais transferidos

Imagens e outros dados pessoais potencialmente incluídos nos conteúdos de redes sociais e calendários geridos pelos utilizadores.

Dados sensíveis transferidos (se aplicável) e restrições ou salvaguardas aplicadas que tenham plenamente em conta a natureza dos dados e os riscos envolvidos

O Acordo não permite o envio de dados sensíveis.

A frequência da transferência (por exemplo, se os dados são transferidos numa base pontual ou contínua)

De forma contínua através da utilização do Serviço.

Natureza do processamento

O Fornecedor processará os Dados Pessoais apenas com o objetivo de prestar o Serviço ao Cliente.

Finalidade(s) da transferência de dados e do processamento adicional

Prestação do Serviço.

O período de conservação dos dados pessoais ou, se tal não for possível, os critérios utilizados para determinar esse período

Os dados pessoais serão conservados até três anos após o último uso do Serviço ou o vencimento da subscrição, conforme definido no Acordo, o que ocorrer mais tarde.

Para as transferências para (sub)operadores de dados, especifique também o objeto, a natureza e a duração do processamento

Os Suboperadores são contratados para receber apoio na prestação do Serviço.

C. AUTORIDADE DE SUPERVISÃO COMPETENTE

A autoridade de supervisão competente nos termos da Cláusula 13 das Cláusulas Contratuais Padrão é o Garante italiano para a proteção de dados pessoais (Garante per la protezione dei dati personali).