Acordo de processamento de dados

O presente Acordo de Processamento de Dados ("DPA") faz parte de e está incorporado em qualquer acordo, incluindo uma forma dos Termos de Serviço, entre a Spendbase, Inc. ou outra entidade legal do grupo de empresas Spendbase (coletivamente, "Base de dados de despesas") e a entidade cliente aplicável ("Cliente") (cada um deles um "Festa" e, em conjunto, o "Partes") que rege a utilização dos serviços da Spendbase pelo Cliente (o "Acordo").

Este DPA aplica-se a todo o processamento de dados pessoais pela Spendbase em nome do Cliente nos termos do Contrato. Todos os termos em maiúsculas não definidos neste DPA terão o significado dado a eles no Contrato. Este DPA entra em vigor a partir da data de vigência do Contrato (o "Data efectiva").

Ao celebrar o Acordo com a Spendbase, considera-se que as Partes celebraram o presente APD, incluindo as Cláusulas contratuais-tipo, que fazem parte do presente APD.

Este DPA aplica-se igualmente quando a entidade contratante é a Spendbase, Inc. ou outra afiliada da Spendbase.

CONSIDERANDO QUE:

(A) No âmbito da prestação de Serviços, o Subcontratante tratará determinados dados pessoais em nome do Responsável pelo Tratamento, na aceção do artigo 28º do RGPD;

(B) As Partes pretendem garantir que esse tratamento de dados pessoais é efectuado em conformidade com a legislação aplicável em matéria de proteção de dados, em especial o Regulamento (UE) 2016/679 (o "RGPD");

(C) As Partes acordam que os Vendedores devem tratar os dados pessoais sob a sua própria responsabilidade e com base em acordos separados (incluindo os seus próprios acordos de tratamento de dados e políticas de privacidade). Para evitar dúvidas, o presente APD não se aplica a essas actividades de tratamento do Vendedor.

(D) Por conseguinte, as Partes celebram o presente APD, que estabelece os direitos e obrigações das Partes no que respeita ao tratamento de dados pessoais pelo Subcontratante em nome do Responsável pelo Tratamento.

AGORA, PORTANTOas Partes acordam no seguinte:

No presente APD, os termos seguintes terão o significado abaixo indicado. Os termos em maiúsculas não definidos no presente documento terão o significado que lhes é atribuído no RGPD.

"Leis de proteção de dados aplicáveis" significa o RGPD e quaisquer outras leis e regulamentos federais ou estatais aplicáveis relacionados com a proteção dos dados pessoais e da privacidade;

"Controlador de dados pessoais" significa quaisquer dados pessoais processados pelo Subcontratante em nome do Responsável pelo Tratamento em relação aos Serviços, conforme descrito mais pormenorizadamente em Anexo 1 Pormenores do tratamento;

"Violação de dados" significa uma violação da segurança que conduza à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso aos Dados Pessoais do Responsável pelo Tratamento;

"Pedido do titular dos dados" significa um pedido de um titular de dados para exercer os direitos previstos no RGPD;

"País restrito", um país ou território fora do Espaço Económico Europeu que não beneficia de uma decisão de adequação da Comissão Europeia;

"Transferência restrita" significa (i) uma transferência de Dados Pessoais do Responsável pelo Tratamento do Responsável pelo Tratamento para o Subcontratante num País Restrito; ou (ii) uma transferência subsequente de Dados Pessoais do Responsável pelo Tratamento do Subcontratante para um Subcontratante num País Restrito;

"Serviços" significa a plataforma SaaS e os serviços relacionados fornecidos pelo Processador ao Controlador;

"Subprocessador" significa qualquer entidade jurídica nomeada pelo Subcontratante para processar os Dados Pessoais do Responsável pelo Tratamento no âmbito dos Serviços;

Vendedor" significa um fornecedor terceiro de produtos ou serviços de software como serviço (SaaS).

Os termos "dados pessoais", "categorias especiais de dados", "titular dos dados", "processamento", "controlador", "processador", e "autoridade de controlo" têm o significado que lhes é atribuído no RGPD.

2.1 O presente APD rege o tratamento dos Dados Pessoais do Responsável pelo Tratamento pelo Subcontratante em nome do Responsável pelo Tratamento no âmbito dos Serviços. A natureza, a finalidade e os detalhes desse processamento estão descritos em Anexo 1 Pormenores do tratamento. O Subcontratante processará os Dados Pessoais do Responsável pelo Tratamento apenas mediante instruções do Responsável pelo Tratamento e não processará os Dados Pessoais do Responsável pelo Tratamento para qualquer outro fim, exceto quando tal for exigido pelas Leis de Proteção de Dados Aplicáveis.

2.2 Ao celebrar este APD, o Responsável pelo Tratamento dá instruções ao Processador para processar os Dados Pessoais do Responsável pelo Tratamento apenas na medida do necessário para:

(i) prestar os Serviços e o respetivo apoio técnico;

(ii) cumprir as instruções documentadas do Responsável pelo Tratamento; e

(iii) cumprir a legislação aplicável à qual o Processador está sujeito.

2.3 O Responsável pelo Tratamento reconhece que os Serviços permitem ao Responsável pelo Tratamento contratar Vendedores à sua escolha. Cada Fornecedor processa os dados pessoais de forma independente, de acordo com os seus próprios termos, políticas de privacidade e acordos de processamento de dados. Para evitar dúvidas, o Subcontratante não actua como subcontratante relativamente a quaisquer dados pessoais processados pelos Vendedores, e esta APD não se aplica a esse processamento.

2.4 O Responsável pelo tratamento não fornecerá, e o Subcontratante não solicitará nem tencionará processar, quaisquer categorias especiais de dados, tal como definidas no RGPD.

2.5 O Responsável pelo Tratamento garante que estabeleceu uma base legal válida ao abrigo das Leis de Proteção de Dados Aplicáveis para todo o processamento dos Dados Pessoais do Responsável pelo Tratamento pelo Subcontratante, tal como contemplado neste APD.

3.1 O Subcontratante assegurará que as pessoas autorizadas a tratar os Dados Pessoais do Responsável pelo Tratamento estão sujeitas a um dever de confidencialidade adequado, quer contratual quer estatutário, e que essas obrigações se mantêm em vigor após o termo do seu contrato.

3.2 Tendo em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas singulares, o Subcontratante implementará e manterá medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Responsável pelo Tratamento contra a destruição, perda, alteração, divulgação ou acesso acidentais ou ilícitos. Uma descrição de tais medidas é apresentada em Anexo 2 Medidas técnicas e organizacionais.

3.3 O controlador é responsável por:

(i) proteger as suas credenciais de acesso e os dispositivos utilizados para aceder aos Serviços;

(ii) assegurar um nível de segurança adequado ao risco na sua utilização dos Serviços; e

(iii) determinar se os Serviços e as medidas descritas em Anexo 2 Medidas técnicas e organizacionais cumprir os requisitos legais e regulamentares do Controller.

3.4 O Processador não tem qualquer obrigação de proteger os Dados Pessoais do Controlador que o Controlador opte por armazenar ou transferir fora dos Serviços ou dos sistemas dos Subprocessadores (por exemplo, armazenamento offline ou no local).

4.1 O Responsável pelo Tratamento reconhece e aceita que o Subcontratante pode contratar Subcontratantes para processar os Dados Pessoais do Responsável pelo Tratamento no âmbito dos Serviços. O Subcontratante pode continuar a utilizar todos os Subcontratantes por ele contratados a partir da Data Efectiva do presente APD.

4.2 A lista de subprocessadores encontra-se em spendbase.co/subprocessadores e incorporado neste DPA por referência. O Processador pode atualizar esta lista periodicamente e notificará o Responsável pelo Tratamento de qualquer novo Subprocessador, publicando a lista actualizada no sítio Web do Processador.

4.3 O Subcontratante assegurará que cada Subcontratante esteja vinculado por um contrato que imponha obrigações de proteção de dados não menos protectoras do que as estabelecidas na presente APD, incluindo obrigações relacionadas com a confidencialidade, segurança e proteção de dados.

4.4 O Subcontratante continua a ser totalmente responsável pelos actos e omissões dos seus Subcontratantes, na mesma medida em que os actos e omissões seriam seus.

4.5 O Controlador reconhece e concorda que todas as filiais actuais e futuras do Processador podem atuar como Subprocessadores ao abrigo deste APD. Tais afiliadas serão consideradas autorizadas, não sendo necessária uma aprovação separada por parte do Responsável pelo Tratamento. O Processador permanecerá totalmente responsável pela conformidade das suas afiliadas com este APD.

4.6 Nem todos os Subcontratantes processam os Dados Pessoais do Responsável pelo Tratamento em relação a cada Serviço. Os Subcontratantes específicos envolvidos dependem das caraterísticas dos Serviços que o Responsável pelo Tratamento optar por utilizar

5.1 Tendo em conta a natureza do tratamento, o Subcontratante prestará ao Responsável pelo Tratamento a assistência razoável necessária para lhe permitir responder aos pedidos dos titulares dos dados para exercerem os seus direitos ao abrigo das Leis de Proteção de Dados Aplicáveis, na medida em que tais pedidos estejam relacionados com os Dados Pessoais do Responsável pelo Tratamento e os Serviços.

5.2 Se o Subcontratante receber diretamente um Pedido do Titular dos Dados, deverá notificar imediatamente o Responsável pelo Tratamento e não responderá ao pedido, exceto mediante instruções documentadas do Responsável pelo Tratamento ou quando exigido pelas Leis de Proteção de Dados Aplicáveis.

5.3 A obrigação do Subcontratante de prestar assistência ao abrigo da presente Secção 5 só se aplica na medida em que o Controlador não possa, ele próprio, responder ao Pedido do Titular dos Dados através da funcionalidade dos Serviços.

6.1 O Subcontratante notificará o Responsável pelo Tratamento sem demora injustificada após tomar conhecimento de uma Violação de Dados suspeita ou real que afecte os Dados Pessoais do Responsável pelo Tratamento.

6.2 Essa notificação deve, na medida do razoavelmente disponível para o Processador, descrever:

(i) a natureza da violação de dados, incluindo, se possível, as categorias e o número aproximado de titulares de dados em causa e as categorias e o número aproximado de registos de dados pessoais em causa;

(ii) as consequências previstas da violação de dados; e

(iii) as medidas adoptadas ou propostas pelo Subcontratante para resolver a violação de dados, incluindo, se for caso disso, medidas para atenuar os seus eventuais efeitos adversos.

6.3 O Responsável pelo tratamento é responsável pelo cumprimento de quaisquer obrigações de notificação ou comunicação aplicáveis ao Responsável pelo tratamento em caso de violação de dados.

6.4 A notificação ou resposta do Processador à Violação de Dados ao abrigo desta Secção 6 não deve ser interpretada como um reconhecimento pelo Processador de qualquer falha ou responsabilidade relativamente ao incidente

7.1 Tendo em conta a natureza do tratamento e as informações de que dispõe, o Subcontratante pode prestar assistência razoável ao Responsável pelo Tratamento no que respeita às avaliações do impacto da proteção de dados e às consultas prévias às autoridades de supervisão, conforme exigido pelas Leis de Proteção de Dados Aplicáveis.

7.2 Para demonstrar a conformidade com este APD, o Processador disponibilizará ao Controlador a documentação razoavelmente necessária para comprovar a sua conformidade com o Artigo 28 do RGPD, que pode incluir relatórios de auditoria de terceiros, certificações ou outras informações.

7.3 As auditorias limitar-se-ão a revisões remotas da documentação fornecida pelo Processador. O Responsável pelo Tratamento pode realizar essas auditorias no máximo uma vez a cada doze (12) meses, exceto se uma autoridade de supervisão exigir o contrário.

7.4 O Responsável pelo Tratamento fornecerá um aviso prévio por escrito de, pelo menos, setenta e duas (72) horas antes de qualquer auditoria. Todas as auditorias serão efectuadas de forma a evitar perturbações nas operações comerciais do Processador. O Responsável pelo Tratamento suportará todos os custos de qualquer auditoria.

8.1 As Partes acordam que, na medida em que qualquer tratamento de Dados Pessoais do Responsável pelo Tratamento envolva uma Transferência Restrita, essa transferência será regida pelas Cláusulas Contratuais-tipo para a transferência de dados pessoais para países terceiros (Módulo Dois: Responsável pelo Tratamento para Subcontratante) emitidas pela Comissão Europeia ao abrigo da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021 ("CCT").

8.2 As CEC são incorporadas por referência e fazem parte do presente APD como se fossem apresentadas na íntegra.

8.3 As Partes acordaram na cartografia dos anexos seguintes:

(i) Anexo I (Descrição da transformação): preenchido por referência a Anexo 1 Pormenores do tratamento.

(ii) Anexo II (Medidas Técnicas e Organizativas): completado por referência a Anexo 2 Medidas técnicas e organizacionais.

(iii) Anexo III (Lista de subcontratantes): completado por referência à Lista de subprocessadores.

8.4 As CSC regem-se pela lei do Estado-Membro da UE em que o Responsável pelo Tratamento está estabelecido e os litígios estão sujeitos à jurisdição dos tribunais desse Estado-Membro.

8.5 Cláusula de acoplamento (Cláusula 7 SCCs): Aplica-se a cláusula de acoplamento opcional.

8.6 Quando aplicável, qualquer transferência de Dados Pessoais do Responsável pelo Tratamento no Reino Unido para o Subcontratante no Espaço Económico Europeu é abrangida por regulamentos de adequação emitidos pelo Organismo Relevante ao abrigo do Parágrafo 5 do Anexo 21 da Lei de Proteção de Dados do Reino Unido de 2018 e, por conseguinte, não constitui uma Transferência Restrita.

8.7 Quando a Spendbase contrata Subprocessadores localizados fora do EEE/Reino Unido, essas transferências são protegidas pelas SCCs (Módulo 3: Processador para Processador) ou decisões de adequação, conforme aplicável.

9.1 Após a cessação ou expiração dos Serviços que envolvam o tratamento dos Dados Pessoais do Responsável pelo Tratamento, o Subcontratante deverá, à escolha do Responsável pelo Tratamento

(i) devolver todos os dados pessoais do responsável pelo tratamento num formato estruturado, de uso corrente e de leitura ótica, ou

(ii) eliminar todos os Dados Pessoais do Responsável pelo Tratamento e certificar essa eliminação mediante pedido escrito do Responsável pelo Tratamento. O Responsável pelo Tratamento comunicará a sua preferência ao Subcontratante antes da cessação.

9.2 O Subcontratante concluirá a eliminação ou devolução no prazo de trinta (30) dias após a cessação, exceto se a lei exigir uma conservação mais longa, desde que esses dados sejam mantidos confidenciais e sejam tratados apenas na medida do necessário para o cumprimento dessa lei.

10.1 A responsabilidade de cada Parte ao abrigo ou em relação ao presente APD estará sujeita às limitações e exclusões de responsabilidade estabelecidas no Acordo.

10.2 Exceto se de outra forma exigido pelas SCC para Transferências Restritas, este APD será regido e interpretado de acordo com a lei aplicável estabelecida no Acordo, e quaisquer litígios decorrentes ou relacionados com este APD estarão sujeitos à jurisdição exclusiva dos tribunais especificados no Acordo.

10.3 Em caso de conflito entre os termos do presente APD e do Acordo, o presente APD prevalecerá no que diz respeito à matéria de proteção de dados.

10.4 Se for necessário para cumprir as Leis de Proteção de Dados Aplicáveis ou as orientações vinculativas de uma autoridade de supervisão competente, o Processador pode alterar o presente ATD através de uma notificação escrita ao Controlador. As Partes devem cooperar de boa-fé para garantir o cumprimento contínuo.

10.5 Este APD permanecerá em vigor enquanto o Processador processar os Dados Pessoais do Controlador em nome do Controlador ao abrigo do Acordo.

10.6 Salvo disposição em contrário das CEC, o presente APD rege-se pela lei aplicável estabelecida no Contrato.

As perguntas relativas a esta DPA podem ser dirigidas a legal@test-domain-partnerway.prod.spendbase.co