Este Adendo de Processamento de Dados, incluindo os Anexos 1 e 2 (“DPA”), estabelece os termos essenciais exigidos pela Sojern, Inc., uma corporação de Delaware com sede em 575 Market Street, 4th Floor, San Francisco, CA 94105 USA (“Sojern”). Para os fins deste DPA, a empresa que faz parte do Contrato (conforme definido abaixo) na qual esse DPA está incorporado é chamada de “Empresa”.
”Contrato” significa todo e qualquer acordo entre as partes sob o qual a Sojern recebe, coleta, acessa ou processa Dados Pessoais para os fins previstos no provedor de dados ou contrato de serviço aplicável. Este DPA incorpora os termos e condições do contrato e estão em conformidade com o estabelecido abaixo. No caso de um conflito entre o DPA e o contrato, os termos deste DPA regerão e prevalecerão. Todos os termos em maiúsculas usados, mas não definidos neste documento, terão seus respectivos significados, conforme estabelecido no Contrato.
”Dados pessoais” significa qualquer informação relacionada a uma pessoa física identificada ou identificável que possa ser identificada direta ou indiretamente.
”Serviço” significa os serviços fornecidos pela Sojern or Company, conforme aplicável, de acordo com o Contrato.
Para fins de processamento realizado pela Sojern de acordo com o Contrato, o papel da Sojern como processadora de dados ou controladora de dados com relação aos Dados Pessoais processados pela Sojern será estabelecido no Contrato aplicável.
Exceto conforme expressamente permitido neste documento ou por escrito pela Empresa, a Sojern não divulgará, venderá, distribuirá ou transmitirá Dados Pessoais a terceiros, nem (b) usará Dados Pessoais para qualquer finalidade que não seja fornecer à Empresa o Serviço nos termos do Contrato e de acordo com todas as leis de privacidade e proteção de dados aplicáveis. A Sojern garantirá que cada pessoa autorizada a processar Dados Pessoais esteja sujeita a um dever de confidencialidade em relação a esses Dados Pessoais.
Cada parte certifica que compreende suas obrigações de acordo com as leis de privacidade e proteção de dados aplicáveis e processará os Dados Pessoais de acordo com todas as leis de privacidade e proteção de dados aplicáveis. Quando a Sojern estiver atuando como processadora de dados, a Sojern realizará o processamento conforme documentado e instruído pela Empresa no Contrato, a menos que seja notificada de outra forma por uma autoridade regulatória de que tal processamento não está em conformidade com as leis de privacidade e proteção de dados aplicáveis. Nesse caso, a Sojern fornecerá imediatamente à Empresa uma notificação por escrito dessa notificação regulatória e poderá interromper o processamento de Dados Pessoais até que a questão regulatória seja resolvida.
Na medida exigida pela Lei de Proteção de Dados aplicável, a Empresa deve apenas instruir a Sojern a processar dados pessoais para os fins permitidos pelas leis de privacidade e proteção de dados aplicáveis e deve divulgar Dados Pessoais à Sojern somente para os fins limitados e especificados no Contrato. A Empresa se reserva o direito, mediante aviso razoável, de tomar medidas razoáveis e apropriadas para ajudar a garantir que a Sojern use os Dados Pessoais transferidos de maneira consistente com as obrigações da Sojern de acordo com as leis de privacidade e proteção de dados aplicáveis, incluindo medidas razoáveis e apropriadas para interromper e remediar o uso não autorizado de Dados Pessoais. A Sojern notificará a Empresa se determinar que não pode mais cumprir suas obrigações de acordo com as leis de privacidade e proteção de dados aplicáveis.
Cada parte manterá um registro escrito ou eletrônico do processamento de Dados Pessoais. Cada parte cooperará razoavelmente com a outra parte no cumprimento das leis de privacidade e proteção de dados aplicáveis em relação a avaliações de impacto de dados, registros de processamento, solicitações relacionadas ou consultas com autoridades de proteção de dados e auditorias de acordo com o Contrato aplicável para permitir que a Empresa confirme que a Sojern cumpriu suas obrigações de acordo com as leis de privacidade e proteção de dados aplicáveis e o Contrato.
Onde o Contrato especifica que a Sojern está agindo como um “terceiro” de acordo com a Lei de Proteção ao Consumidor da Califórnia (CCPA):
A Sojern só processará Dados Pessoais durante a vigência do Contrato para fornecer ou executar o Serviço, especificamente para o propósito limitado e específico de fornecer o Serviço ou conforme instruído ou permitido por escrito pela Empresa. Para maior clareza, os Serviços fornecidos pela Sojern são enumerados no Formulário de Pedido da Empresa.
A Sojern cumprirá todas as obrigações aplicáveis nos termos da CCPA e fornecerá o mesmo nível de proteção de privacidade exigido pela CCPA e notificará se não puder mais cumprir suas obrigações nos termos da CCPA.
A Sojern concede à Empresa o direito de (a) tomar medidas razoáveis e apropriadas para ajudar a garantir que o Fornecedor use os Dados Pessoais de maneira consistente com suas obrigações nos termos da CCPA e (b) mediante notificação, de tomar medidas razoáveis e apropriadas para interromper e remediar o uso não autorizado de Dados Pessoais.
As partes reconhecem que a Sojern não mantém um relacionamento direto com indivíduos cujos Dados Pessoais são fornecidos à Sojern. Assim, quando exigido pelas leis de privacidade e proteção de dados aplicáveis, a Empresa disponibilizará a Política de Privacidade da Sojern em https://www.sojern.com/privacy/privacy-policy/ para indivíduos cujos dados pessoais são processados pela Sojern.
A Empresa notificará e obterá o consentimento dos indivíduos, conforme exigido pelas leis de privacidade e proteção de dados aplicáveis em relação à coleta, uso e divulgação de Dados Pessoais pela Empresa. Se as leis de privacidade e proteção de dados aplicáveis exigirem mecanismos pelos quais os indivíduos possam exercer direitos, incluindo, mas não se limitando a, direitos de exclusão, a Empresa (ou outra parte responsável pela coleta de Dados Pessoais em nome da Empresa) fornecerá esse mecanismo aos indivíduos. Presume-se que a Empresa forneceu os avisos apropriados e obteve os consentimentos apropriados, se necessário, de quaisquer indivíduos cujos Dados Pessoais sejam fornecidos à Sojern. A Empresa fornecerá prontamente, mediante solicitação e a qualquer momento pela Sojern, prova de que os consentimentos apropriados foram obtidos pela Empresa de indivíduos relevantes.
Cada parte cooperará razoavelmente com a outra parte em resposta a quaisquer solicitações ou reclamações de indivíduos relacionadas ao processamento de Dados Pessoais de acordo com o Contrato e com relação aos direitos de privacidade de acordo com as leis de privacidade e proteção de dados aplicáveis. Se a Sojern receber uma solicitação de um indivíduo, a Sojern prontamente: (a) encaminhará a solicitação à Empresa para gerenciar a solicitação; e (b) quando a Sojern for a processadora de dados, implementará a decisão da Empresa com relação à forma como a solicitação será gerenciada.
As partes reconhecem que os Dados Pessoais originados fora dos EUA (incluindo o Espaço Econômico Europeu (EEE), o Reino Unido ou a Suíça) podem ser transferidos ou processados pela Sojern em um país ou território reconhecido como garantindo proteção adequada de acordo com a legislação relevante de privacidade e proteção de dados. As partes também concordam que as transferências desses Dados Pessoais para a Sojern podem ser feitas de acordo com uma solução, diferente das cláusulas contratuais padrão, que permite a transferência legal de dados pessoais para um terceiro país, de acordo com a lei de privacidade e proteção de dados aplicável (uma “Solução de Transferência”). Isso inclui, mas não está limitado a, uma estrutura de proteção de dados aprovada, reconhecida como garantia de que as entidades participantes forneçam proteção adequada de dados pessoais.
Na medida em que dados pessoais originários de fora dos EUA (incluindo o Espaço Econômico Europeu (EEE), o Reino Unido ou a Suíça) são transferidos para Sojern, o processamento de dados exige adequação de acordo com as leis do país da empresa, nenhuma decisão de adequação ou solução de transferência se aplica e a adequação exigida pode ser atendida pelos termos deste DPA, então as partes concordam que o DPA por referência, conforme aplicável, a UE () 2021/914 Cláusulas contratuais padrão da Comissão Europeia para a transferência de dados pessoais para países terceiros, de acordo com o Regulamento (UE) 2016-679 por controladores da UE/EEE para processadores estabelecidos fora da UE/EEE (“Módulo 2”) e/ou por controladores da UE/EEE para controladores estabelecidos fora da UE/EEE (“Módulo 1”), e conforme eles são alterados ou substituídos de tempos em tempos pela Comissão Europeia (coletivamente, como “Cláusulas”). Para fins de conveniência, as cláusulas com hiperlinks acima são geradas com base na texto disponibilizado pela Comissão Europeia com o único propósito de incorporar as Cláusulas ao Contrato, selecionar o (s) Módulo (s) apropriado (s) e adicionar informações ao Apêndice conforme permitido pelas Cláusulas. Para fins de transferência de dados pessoais, a Empresa será “exportadora de dados” e a Sojern será a “importadora de dados” (mesmo que a Empresa seja uma entidade localizada fora da UE/EEE, desde que a Empresa esteja sujeita ao Regulamento (UE) 2016-679). Quando as Cláusulas se aplicarem, considera-se que a Empresa e a Sojern celebraram as Cláusulas em seus respectivos nomes e em seu próprio nome, e os nomes, endereços, detalhes de contato, funções e atividades das partes relacionadas aos Dados Pessoais transferidos de acordo com essas Cláusulas serão fornecidos no Contrato. A execução do Contrato será considerada execução das Cláusulas, especificamente a execução do Anexo I.A das Cláusulas. Na medida em que haja algum conflito entre os termos deste DPA e as Cláusulas, as Cláusulas aplicáveis prevalecerão e prevalecerão.
Cada parte deve implementar e manter medidas técnicas, físicas e organizacionais apropriadas para proteger os Dados Pessoais contra processamento não autorizado ou ilegal e contra perda, destruição ou danos acidentais.
A empresa concede uma autorização geral à Sojern para usar outros processadores de dados para o processamento de dados pessoais (“Subprocessadores”), que estão sujeitos a obrigações de confidencialidade e proteção de dados consistentes com este DPA e as leis de privacidade e proteção de dados aplicáveis, listadas em www.sojern.com/legal/partner-list/. Quando exigido pelo Contrato ou quando a Sojern estiver atuando como processadora de dados, a Sojern informará a Empresa sobre quaisquer alterações relacionadas à adição ou substituição de subprocessadores, atualizando a lista mencionada acima, dando à Empresa a oportunidade de se opor a essas alterações, e as instruções para objeções são fornecidas no mesmo URL. Se a Empresa se opuser razoavelmente a uma mudança e a Sojern não conseguir resolver tal objeção, a Empresa poderá rescindir o Contrato e o DPA.
Este DPA permanecerá em pleno vigor e efeito até que o último dos Contratos permaneça em vigor e (b) a Sojern retenha cópias dos Dados Pessoais. Qualquer uma das partes pode rescindir este DPA imediatamente após uma violação material deste DPA ou uma autoridade reguladora e/ou um tribunal ou tribunal com jurisdição considerar que o processamento de Dados Pessoais por partes viola materialmente as leis de privacidade e proteção de dados aplicáveis, desde que, no entanto, a parte não violadora forneça uma notificação da alegada violação, e tal violação tenha permanecido sem cura por um período de quinze (15) dias após tal notificação.
Considera-se que este DPA foi elaborado e interpretado de acordo com as leis do Estado da Califórnia, EUA, sem levar em conta os conflitos de suas disposições legais.
Viajantes e outros clientes da Companhia.
Os Dados Pessoais transferidos pela Empresa são fornecidos de acordo com o Contrato e podem incluir, mas não estão limitados a:
Nenhum
Base contínua, durante a vigência do Contrato aplicável.
Coleta de informações de navegação on-line por meio do uso de cookies e outras tecnologias de rastreamento.
Para qualquer finalidade legal relacionada aos Serviços fornecidos sob o Contrato entre exportador e importador de dados, particularmente publicidade direcionada com base em informações de navegação on-line. Nenhum processamento adicional é permitido.
Durante a vigência do Contrato aplicável, a menos que, por escolha do exportador de dados, os Dados Pessoais sejam excluídos ou devolvidos.
Os subprocessadores estão listados em www.sojern.com/legal/partner-list/ conforme permitido pela Cláusula 9 (a) do Modelo 1.
A autoridade supervisora de um dos Estados Membros em que os titulares de dados cujos Dados Pessoais são transferidos de acordo com estas Cláusulas em relação à oferta de bens ou serviços a eles, ou cujo comportamento é monitorado, estão localizados, conforme indicado no Anexo I.C, atuará como autoridade supervisora competente.
1. Geral. A Sojern estabelecerá, implementará e manterá medidas administrativas, técnicas e organizacionais apropriadas, projetadas para proteger contra o processamento não autorizado ou ilegal de Dados Pessoais e contra a perda acidental, destruição ou dano aos Dados Pessoais. Essas medidas serão adequadas para cumprir as leis de proteção de dados aplicáveis e a Sojern cumprirá sempre suas políticas de segurança da informação e seu programa de segurança da informação.
2. Políticas e padrões de segurança da informação. A Sojern manterá políticas, padrões e procedimentos de segurança da informação. Essas políticas, padrões e procedimentos devem ser mantidos atualizados e revisados sempre que alterações relevantes forem feitas nos sistemas de informações que usam ou armazenam Dados Pessoais.
3. Gerenciamento de vulnerabilidades. A Sojern manterá um programa de gerenciamento de vulnerabilidades para todos os sistemas que processam dados pessoais que inclui, sem limitações, vulnerabilidades internas e externas com descobertas de classificação de risco e planos de remediação para resolver quaisquer vulnerabilidades identificadas.
4. Avaliação de risco. A Sojern conduzirá avaliações de risco periódicas para identificar e avaliar riscos razoavelmente previsíveis à segurança, confidencialidade e integridade dos registros que contêm dados pessoais e avaliar e melhorar, quando necessário, a eficácia de suas salvaguardas para limitar esses riscos.
5. Classificação de dados. A Sojern manterá políticas e procedimentos para classificar ativos de informações confidenciais, esclarecer as responsabilidades de segurança e promover a conscientização de todos os funcionários.
6. Criptografia. A Sojern implementará mecanismos de criptografia padrão do setor e pacotes de criptografia fortes (recomendado o AES de 256 bits) para armazenamento e transmissão. Sojern aceitará conexões por canais criptografados (o TLS é recomendado).
7. Segurança de rede. A Sojern protegerá sua rede empregando uma abordagem de defesa aprofundada que utiliza equipamentos comercialmente disponíveis e técnicas padrão do setor, incluindo, sem limitações, firewalls, sistemas de detecção de intrusão, listas de controle de acesso e protocolos de roteamento.
8. Controles de vírus e malware. A Sojern protegerá os Dados Pessoais contra códigos maliciosos e instalará e manterá software de proteção antivírus e malware em qualquer sistema que manipule Dados Pessoais.
9. Controle de acesso. A Sojern praticará o princípio do menor privilégio, quando o acesso aos Dados Pessoais é concedido apenas àqueles dentro da organização que têm uma necessidade comercial desse acesso e as permissões serão limitadas à quantidade mínima necessária para desempenhar a função específica.
10. Local de processamento. Os dados pessoais serão processados pela Sojern nos Estados Unidos, sujeitos às leis de proteção de dados aplicáveis que possam exigir o contrário.
11. Resposta a incidentes. Sojern manterá um programa de resposta a incidentes de segurança de dados e documentará todas as suspeitas de incidentes de segurança de dados. A Sojern investigará quaisquer incidentes de segurança de dados e tomará todas as medidas necessárias para eliminar ou conter o incidente de segurança de dados.
12. Pessoal. A Sojern manterá um programa de treinamento e conscientização sobre segurança da informação e treinará funcionários essenciais da Sojern em medidas de proteção de dados e proteções gerais de segurança cibernética.
13. Fornecedor. A Sojern manterá um programa de gerenciamento de fornecedores que avaliará todos os fornecedores com os quais a Sojern troca dados pessoais. Esses fornecedores seguirão padrões de segurança de dados não menos restritivos do que os estabelecidos neste documento.
