Acordo de Processamento de Dados da Rocket Software - Fornecedores

Última atualização: 21 de outubro de 2024

Este contrato de processamento de dados (o “Contrato de Processamento de Dados” ) é celebrado entre a Rocket Software, Inc. e/ou suas afiliadas ( “Rocket Software” ) e você, um fornecedor de bens ou serviços para a Rocket Software (o “Fornecedor”), e entra em vigor na data de vigência (a “Data de Vigência” ) do respectivo contrato de prestação de serviços, contrato principal de serviços ou outro contrato similar celebrado entre as partes (o “Contrato” ). Este Contrato de Processamento de Dados faz parte integrante do Contrato e está incorporado a ele.

I. Definições. Os termos em maiúsculas não definidos neste documento têm o significado que lhes é atribuído no Contrato. As seguintes definições aplicam-se a este Contrato de Processamento de Dados:

A. “Leis de Proteção de Dados Aplicáveis” significa todas as leis e regulamentos aplicáveis ​​ao Processamento de Dados Pessoais sob este Contrato de Processamento de Dados, em cada caso, conforme alterados periodicamente, incluindo, sem limitação, as Leis Europeias de Proteção de Dados, a Lei de Privacidade do Consumidor da Califórnia, conforme alterada pela Lei de Direitos de Privacidade da Califórnia (em conjunto, “CCPA”), e a Lei Geral de Proteção de Dados do Brasil.

B. “CCPA” significa a Lei de Privacidade do Consumidor da Califórnia (CCPA), conforme alterada.

C. Os termos “controlador”, “titular dos dados”, “dados pessoais”, “violação de dados pessoais”, “processamento”, “operador” e “autoridade supervisora” têm o significado que lhes é atribuído nas Leis de Proteção de Dados Aplicáveis.

D. “Leis Europeias de Proteção de Dados” significa o Regulamento Geral de Proteção de Dados da UE 2016/679 (o “RGPD da UE”), o RGPD da UE na forma em que foi incorporado à legislação da Inglaterra e do País de Gales, da Escócia e da Irlanda do Norte e à Lei de Proteção de Dados do Reino Unido de 2018 (o “RGPD do Reino Unido” ), e a Lei Federal Suíça sobre Proteção de Dados, e qualquer outra lei, estatuto, declaração, decreto, diretiva, ato legislativo, ordem, portaria, regulamento, regra ou outro instrumento vinculativo aplicável que implemente qualquer um dos anteriores (em cada caso, conforme alterado, consolidado, republicado ou substituído periodicamente).

E. “Serviços” significa os serviços e/ou produtos a serem fornecidos pelo Fornecedor à Rocket Software sob o Contrato, incluindo quaisquer métodos necessários, usuais, apropriados ou aceitáveis ​​para executar atividades relacionadas aos Serviços, incluindo (a) executar os Serviços ou o negócio do qual os Serviços fazem parte, (b) exercer quaisquer benefícios, direitos e obrigações relacionados aos Serviços, (c) manter registros relacionados aos Serviços e (d) cumprir quaisquer obrigações legais ou autorregulatórias relacionadas aos Serviços.

F. “Subcontratado” significa um subcontratado terceiro que é contratado pelo Fornecedor ou em seu nome para processar dados pessoais como parte do fornecimento dos Serviços.

G. “Cláusulas Contratuais Padrão” significa as Cláusulas Contratuais Padrão da Comissão Europeia para a transferência de dados pessoais da União Europeia para processadores estabelecidos em países terceiros, nos termos do Regulamento (UE) 2016/679, conforme estabelecido no Anexo da Decisão de Execução (UE) 2021/914 da Comissão Europeia.

II. Natureza do Processamento, Obrigações Gerais, Subprocessadores e Transferências Transfronteiriças

A. Natureza do Processamento.

As partes reconhecem e concordam que, para efeitos das Leis de Proteção de Dados Aplicáveis, a Rocket Software é a controladora e o Fornecedor é o processador, em relação ao seguinte processamento: (i) âmbito, natureza e finalidade do processamento: processamento realizado pelo Fornecedor na prestação dos Serviços; (ii) duração: durante o Prazo; e (iii) tipos de dados pessoais e categorias de titulares dos dados: titulares dos dados cujos dados pessoais são processados ​​pelo Fornecedor na execução dos Serviços.

B. Obrigações Gerais.

Na medida em que as informações divulgadas pela Rocket Software ao Fornecedor em conexão com a prestação dos Serviços contenham dados pessoais, o Fornecedor (atuando como processador) deverá: (i) agir somente de acordo com as instruções da Rocket Software estabelecidas neste Contrato de Processamento de Dados ou no Contrato, ou conforme documentado de outra forma pela Rocket Software, a menos que quaisquer Leis de Proteção de Dados Aplicáveis ​​exijam o contrário, caso em que o Fornecedor deverá notificar a Rocket Software sobre tal exigência legal antes de processar tais dados pessoais (a menos que o Fornecedor esteja impedido de notificar a Rocket Software por quaisquer Leis de Proteção de Dados Aplicáveis); (ii) assim que razoavelmente possível (e em qualquer caso, dentro de dois (2) dias úteis), informar a Rocket Software se, em sua opinião, uma instrução que receber dela infringir as Leis de Proteção de Dados Aplicáveis; (iii) tomar medidas técnicas e organizacionais apropriadas para proteger tais dados pessoais contra destruição acidental ou ilícita ou perda acidental, alteração, divulgação ou acesso não autorizado, levando em consideração o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do processamento; (iv) garantir que qualquer pessoa a quem o Fornecedor divulgue tais dados pessoais se comprometa com a confidencialidade ou esteja sujeita a uma obrigação legal apropriada de confidencialidade em relação a tais dados pessoais; (v) fornecer cooperação razoável, conforme solicitado pela Rocket Software, para responder a qualquer solicitação de um titular de dados e para garantir a conformidade com suas obrigações sob as Leis de Proteção de Dados Aplicáveis ​​em relação à segurança, notificações de violação (incluindo notificar a Rocket Software sem demora indevida e, em qualquer caso, dentro de quarenta e oito (48) horas, após tomar conhecimento da ocorrência de uma violação de dados pessoais), avaliações de impacto sobre a proteção de dados e consultas com autoridades de supervisão; (vi) após o término ou expiração deste Acordo de Proteção de Dados por qualquer motivo, (a critério da Rocket Software) excluir ou devolver à Rocket Software todos esses dados pessoais, a menos que seja necessário para o Fornecedor ou seus Subprocessadores reterem certas cópias de tais dados pessoais para cumprir quaisquer Leis de Proteção de Dados Aplicáveis, caso em que deverá cumprir suas políticas de backup e retenção; e (vii) mediante aviso prévio por escrito de trinta (30) dias da Rocket Software (não mais do que uma vez por ano civil): (a) disponibilizar à Rocket Software todas as informações razoavelmente necessárias para demonstrar a conformidade do Fornecedor com este Acordo de Proteção de Dados; e (b) permitir auditorias e inspeções pela Rocket Software ou seu auditor designado.

C. Subprocessadores

A Rocket Software consente que o Fornecedor contrate um Subprocessador terceirizado para processar dados pessoais em nome da Rocket Software, na medida necessária para a prestação dos Serviços e em conformidade com o Contrato, desde que: (i) o Fornecedor informe a Rocket Software sobre quaisquer novos Subprocessadores contratados após a data deste Contrato e obtenha a autorização por escrito da Rocket Software para tal; e (ii) o subcontrato imponha ao Subprocessador substancialmente as mesmas obrigações às quais o Fornecedor está sujeito nos termos deste Contrato de Processamento de Dados. O Fornecedor deverá fornecer à Rocket Software uma lista de Subprocessadores, através do endereço [email protected], mediante solicitação.

D. Transferências transfronteiriças de dados pessoais

Quando o Fornecedor transferir dados pessoais para qualquer destinatário que não esteja abrangido por uma estrutura reconhecida pelas Leis de Proteção de Dados Aplicáveis ​​como fornecendo um nível adequado de proteção para dados pessoais, o Fornecedor deverá garantir que tal transferência de dados pessoais esteja em conformidade com as Leis de Proteção de Dados aplicáveis.

E. Transferências transfronteiriças de dados pessoais – UE

i. No que diz respeito à transferência de dados pessoais da Rocket Software para o Fornecedor, nos termos da legislação europeia de proteção de dados, quando essa transferência ocorrer de um país da União Europeia para um país terceiro não abrangido por um quadro reconhecido pela legislação aplicável de proteção de dados como oferecendo um nível adequado de proteção para dados pessoais, as partes concordam em cumprir as cláusulas gerais deste Contrato de Processamento de Dados e o “Módulo Dois” (Transferência do Controlador para o Processador) das Cláusulas Contratuais Padrão, que serão aplicáveis ​​ao processamento de tais dados pessoais pelo Fornecedor e são aqui incorporadas por referência.

ii. Em complemento ao exposto, as partes concordam que, para efeitos das Cláusulas Contratuais Padrão:

a. A Rocket Software deverá atuar e cumprir as obrigações como "exportadora de dados", e o Fornecedor deverá atuar e cumprir as obrigações como "importador de dados";

b. A cláusula 7 (Cláusula de Acoplamento) das Cláusulas Contratuais Padrão será aplicável;

c. A opção 1 na cláusula 9(a) (Uso de subprocessadores) será aplicada, a lista de subprocessadores ainda não autorizados pelo exportador de dados será notificada para [email protected] (que também receberá quaisquer atualizações propostas) e o período relevante será de 45 dias;

d. a redação opcional na Cláusula 11(a) (Reparação) das Cláusulas Contratuais Padrão não se aplicará;

e. Para efeitos da Cláusula 17 das Cláusulas Contratuais Padrão, as Cláusulas Contratuais Padrão serão regidas pelas leis dos Países Baixos; e

f. Para efeitos da Cláusula 18(b) das Cláusulas Contratuais Padrão, as partes concordam em submeter-se à jurisdição dos tribunais dos Países Baixos.

iii. O Anexo I das Cláusulas Contratuais Padrão deverá ser preenchido da seguinte forma:

a. Para efeitos da Secção A (Lista de Partes) do Anexo I, a identidade e os dados de contacto da Rocket Software enquanto exportadora e responsável pelo tratamento de dados e do Fornecedor enquanto importador e processador de dados e, quando aplicável, as informações sobre os seus respetivos encarregados da proteção de dados e/ou representantes na União Europeia são os definidos no Acordo, ou conforme comunicados por cada parte à outra parte;

b. A Seção B (Descrição da Transferência) do Anexo I é considerada completada com as informações estabelecidas na Cláusula II.A deste Acordo de Processamento de Dados, onde a frequência da transferência será de forma contínua e, sujeito à Cláusula II.B(vi) deste Acordo de Processamento de Dados, os dados pessoais serão retidos pelo período de tempo necessário para os fins do processamento.

c. Para efeitos da Secção C (Autoridade de Supervisão Competente) do Anexo I, a autoridade de supervisão competente identificada de acordo com a Cláusula 13 é os Países Baixos.

iv. As partes concordaram com as medidas técnicas e organizacionais fornecidas pelo Fornecedor à Rocket Software para os fins do Anexo II das Cláusulas Contratuais Padrão.

v. O Anexo III das Cláusulas Contratuais Padrão (Lista de Subprocessadores) é considerado completo por referência à lista fornecida pelo Fornecedor à Rocket Software de acordo com a Cláusula II.E(ii)(c) acima, atualizada de acordo com essa cláusula.

F. Transferências transfronteiriças de dados pessoais – Resto do mundo

Com relação à transferência de Dados Pessoais da Rocket Software para o Fornecedor, de acordo com outras Leis de Proteção de Dados Aplicáveis:

i. As partes concordam em cumprir os requisitos acima na medida em que as cláusulas contratuais padrão sejam necessárias para atender às obrigações legais relativas às transferências internacionais de dados, nos termos das Leis de Proteção de Dados Aplicáveis. Nesse caso, (i) as referências ao RGPD nas Cláusulas Contratuais Padrão serão consideradas como tendo o mesmo significado que a referência equivalente nas Leis de Proteção de Dados Aplicáveis; (ii) as referências a “Estado-Membro” ou “União” nas Cláusulas Contratuais Padrão serão consideradas como se referindo à jurisdição relevante onde as Leis de Proteção de Dados Aplicáveis ​​estão em vigor; e (iii) qualquer outra obrigação nas Cláusulas Contratuais Padrão determinada pelo Estado-Membro em que o exportador de dados está estabelecido será considerada como se referindo a uma obrigação nos termos das Leis de Proteção de Dados Aplicáveis.

ii. Quando o processamento de Dados Pessoais estiver sujeito às Leis de Proteção de Dados Aplicáveis ​​no Reino Unido, o Modelo de Adendo B.1.0 emitido pelo ICO do Reino Unido e apresentado ao Parlamento de acordo com a seção 119A da Lei de Proteção de Dados de 2018 em 2 de fevereiro de 2022 ( “Adendo do Reino Unido” ) será aplicado juntamente com as Cláusulas Contratuais Padrão. Para os fins da Parte 1 do Adendo do Reino Unido, as partes concordam que:

a. Tabela 1. A “data de início” será a data de vigência do Contrato. As “Partes” são a Rocket Software, como exportadora, e o Fornecedor, como importador.

b. Aplica-se a Tabela 2. O Módulo Dois das Cláusulas Contratuais Padrão.

c. Tabela 3. As “Informações do Apêndice” são as informações estabelecidas na Cláusula II.E(ii)-(iii) deste Acordo de Processamento de Dados.

d. Tabela 4. A parte que pode rescindir o Adendo do Reino Unido de acordo com a Seção 19 do Adendo do Reino Unido é a Rocket Software.

ii. Na medida do necessário para cumprir as Leis de Proteção de Dados Aplicáveis, as partes concordam em executar documentos adicionais (incluindo atualizações aos Anexos das Cláusulas Contratuais Padrão) e aplicar proteções adicionais, conforme necessário para a transferência e o armazenamento de dados pessoais transferidos de acordo com as Cláusulas Contratuais Padrão, o Adendo do Reino Unido ou outros requisitos equivalentes previstos nas Leis de Proteção de Dados Aplicáveis.

G. CCPA

Em alguns casos, de acordo com o Contrato, o Fornecedor atuará como uma Empresa nos termos da CCPA e, em outros, como um Prestador de Serviços nos termos da CCPA. Os Dados Pessoais que a Rocket Software divulgou ao Fornecedor são fornecidos para uma Finalidade Comercial. O Fornecedor não deverá Vender ou Compartilhar os Dados Pessoais, conforme definidos na CCPA, e a transferência dos Dados Pessoais para o Fornecedor não será considerada uma “venda” nos termos da CCPA.

Quando o Fornecedor atua como um Prestador de Serviços, o Fornecedor não deverá vender Dados Pessoais nem deverá reter, usar ou divulgar Dados Pessoais (a) para qualquer finalidade que não seja a finalidade específica de fornecer os Serviços; (b) fora da relação comercial direta entre a Rocket Software e o Fornecedor; ou (c) combinar os Dados Pessoais recebidos da Rocket Software com Dados Pessoais que o Fornecedor recebe de, ou em nome de, outra pessoa ou empresa, exceto conforme permitido pelas Leis de Proteção de Dados Aplicáveis; ou (d) conforme proibido pela CCPA.

III. Geral

Os termos e condições incluídos neste Contrato de Processamento de Dados substituem e revogam todos e quaisquer contratos de proteção de dados anteriores ou versões anteriores das Cláusulas Contratuais Padrão ou termos de privacidade ou proteção de dados incluídos em quaisquer outros contratos entre as partes relacionados ao assunto abrangido por este Contrato de Processamento de Dados. A Rocket Software poderá modificar este Contrato de Processamento de Dados conforme necessário para fins de conformidade com as Leis de Proteção de Dados Aplicáveis ​​ou com a decisão de uma autoridade competente nos termos das Leis de Proteção de Dados Aplicáveis, incluindo em relação a (a) alterações na estrutura corporativa e (b) o lançamento de novos recursos, funções, produtos ou serviços ou alterações em quaisquer dos Serviços existentes. Para evitar dúvidas, a Rocket Software poderá ceder livremente o Contrato e este Contrato de Processamento de Dados.