Adenda relativa ao Tratamento de Dados

A presente Adenda relativa ao Tratamento de Dados (“DPA”) é incorporada no Acordo celebrado entre a UAB Ocoya (“Ocoya”) e a entidade cliente que é parte no Acordo na qualidade de Membro (“Cliente”), estando sujeita aos termos e condições do mesmo. Todos os termos iniciados por maiúscula que não sejam definidos na presente DPA terão o significado que lhes é atribuído no Acordo. Para evitar dúvidas, todas as referências ao “Acordo” incluem a presente DPA (incluindo as CCT (quando aplicável), conforme definidas no presente documento).

1. Definições

“Afiliada” designa uma entidade que, direta ou indiretamente, Controla, é Controlada por ou se encontra sob Controlo comum com uma entidade.

“Acordo” designa os nossos Termos de Serviço, ou outro acordo escrito ou eletrónico, que regem a prestação do Serviço ao Cliente, conforme tais termos ou acordo possam ser atualizados periodicamente.

“Controlo” designa uma participação no capital, nos direitos de voto ou de natureza semelhante que represente cinquenta por cento (50%) ou mais da totalidade das participações então existentes na entidade em causa. O termo “Controlada” deve ser interpretado em conformidade.

“Dados do Cliente” designa quaisquer dados pessoais que tratamos em nome do Cliente através do Serviço, conforme descrito mais detalhadamente na presente DPA.

“Legislação em matéria de Proteção de Dados” designa todas as leis e regulamentos em matéria de proteção de dados aplicáveis ao tratamento de Dados do Cliente por uma das partes ao abrigo do Acordo, incluindo, quando aplicável, a Legislação Europeia em matéria de Proteção de Dados e a Legislação Não Europeia em matéria de Proteção de Dados.

“Legislação Europeia em matéria de Proteção de Dados” designa todas as leis e regulamentos em matéria de proteção de dados aplicáveis na Europa, incluindo (i) o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados) (“RGPD”); (ii) a Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas; (iii) as medidas nacionais de execução aplicáveis de (i) e (ii); (iv) o RGPD tal como faz parte do direito do Reino Unido por força da secção 3 da Lei de 2018 do Reino Unido relativa à (Saída da) União Europeia (UK European Union (Withdrawal) Act 2018) e a Lei de Proteção de Dados de 2018 do Reino Unido (UK Data Protection Act 2018) (em conjunto, “Legislação do Reino Unido em matéria de Proteção de Dados”); e (v) a Lei Federal Suíça de Proteção de Dados, de 19 de junho de 1992, e a respetiva Portaria (“LPD Suíça”).

“Europa” designa, para efeitos da presente DPA, o Espaço Económico Europeu e os seus Estados-Membros (“EEE”), a Suíça e o Reino Unido (“Reino Unido”).

“Legislação Não Europeia em matéria de Proteção de Dados” designa a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act) (“CCPA”); a Lei Canadiana de Proteção de Informações Pessoais e Documentos Eletrónicos (Personal Information Protection and Electronic Documents Act) (“PIPEDA”); a Lei Geral de Proteção de Dados brasileira (“LGPD”), Lei Federal n.º 13,709/2018; e a Lei da Privacidade de 1988 (Cth) da Austrália (Privacy Act 1988), na sua versão alterada (“Legislação Australiana em matéria de Privacidade”).

“CCT” designa (i) as cláusulas contratuais-tipo entre responsáveis pelo tratamento e subcontratantes adotadas pela Comissão Europeia na sua Decisão de Execução (UE) 2021/91, de 4 de junho de 2021; ou (ii) as cláusulas contratuais-tipo entre subcontratantes adotadas pela Comissão Europeia na sua Decisão de Execução (UE) 2021/91, de 4 de junho de 2021; conforme aplicável nos termos da Secção 6.3.

“Incidente de Segurança” designa qualquer violação da segurança não autorizada ou ilícita que provoque, de modo acidental ou ilícito, a destruição, a perda ou a alteração de Dados do Cliente, ou a divulgação ou o acesso não autorizados aos mesmos, em sistemas geridos ou de outro modo controlados pela Ocoya.

“Dados Sensíveis” designa (a) número de segurança social, número de identificação fiscal, número de passaporte, número de carta de condução ou identificador semelhante (ou qualquer parte dos mesmos); (b) número de cartão de crédito ou de débito (com exceção da forma truncada (últimos quatro dígitos) de um cartão de crédito ou de débito); (c) informações relativas a emprego, situação financeira, crédito, dados genéticos, biométricos ou de saúde; (d) origem racial ou étnica, filiação política ou religiosa, filiação sindical, informações sobre a vida sexual ou a orientação sexual, ou registo criminal; (e) palavras-passe de contas; ou (f) outras informações abrangidas pela definição de “categorias especiais de dados” nos termos da Legislação em matéria de Proteção de Dados aplicável.

“Subcontratante Ulterior” designa qualquer subcontratante contratado pela Ocoya ou pelas suas Afiliadas para auxiliar no cumprimento das suas obrigações relativas à prestação do Serviço nos termos do Acordo ou da presente DPA. Os Subcontratantes Ulteriores podem incluir terceiros ou Afiliadas da Ocoya, mas excluem os trabalhadores, prestadores de serviços ou consultores da Ocoya.

“Adenda do Reino Unido” designa a Adenda relativa à Transferência Internacional de Dados (International Data Transfer Addendum) (versão B1.0) emitida pelo Information Commisioners Office ao abrigo da S.119(A) da Lei de Proteção de Dados de 2018 do Reino Unido (UK Data Protection Act 2018), conforme atualizada ou alterada periodicamente.

Os termos “dados pessoais”, “responsável pelo tratamento”, “titular dos dados”, “subcontratante” e “tratamento” terão o significado que lhes é atribuído pela Legislação em matéria de Proteção de Dados aplicável ou, caso aí não sejam definidos, pelo RGPD, e “tratar”, “trata” e “tratado(s)”, relativamente a quaisquer Dados do Cliente, devem ser interpretados em conformidade.

2. Funções e responsabilidades

Funções das partes — Caso a Legislação Europeia em matéria de Proteção de Dados ou a LGPD seja aplicável ao tratamento de Dados do Cliente por qualquer das partes, as partes reconhecem e acordam que, no que respeita ao tratamento de Dados do Cliente, a Ocoya é um subcontratante que atua em nome do Cliente (seja este próprio um responsável pelo tratamento ou um subcontratante). Para evitar dúvidas, a presente DPA não se aplica aos casos em que a Ocoya é o responsável pelo tratamento (conforme definido pela Legislação Europeia em matéria de Proteção de Dados), salvo descrição em contrário no Anexo C (Termos Específicos por Jurisdição) da presente DPA.

Limitação das finalidades — A Ocoya tratará os Dados do Cliente, conforme descrito mais pormenorizadamente no Anexo A (Detalhes do Tratamento de Dados) da presente DPA, apenas em conformidade com as instruções lícitas documentadas do Cliente, tal como estabelecidas na presente DPA, na medida do necessário para cumprir a lei aplicável, ou conforme acordado de outro modo por escrito (“Finalidades Permitidas”). As partes acordam que o Acordo, incluindo a presente DPA, juntamente com a configuração ou utilização pelo Cliente de quaisquer definições, funcionalidades ou opções do Serviço (conforme o Cliente as possa modificar periodicamente), constituem as instruções completas e definitivas do Cliente à Ocoya relativamente ao tratamento de Dados do Cliente (incluindo para efeitos das CCT), e o tratamento fora do âmbito destas instruções (se existir) exigirá o acordo prévio por escrito entre as partes.

Dados proibidos — O Cliente não fornecerá (nem fará com que sejam fornecidos) quaisquer Dados Sensíveis à Ocoya para tratamento ao abrigo do Acordo, e a Ocoya não terá qualquer responsabilidade relativamente a Dados Sensíveis, seja em relação a um Incidente de Segurança ou de outro modo. Para evitar dúvidas, a presente DPA não se aplica a Dados Sensíveis.

Conformidade do Cliente — O Cliente declara e garante que (i) cumpriu, e continuará a cumprir, todas as leis aplicáveis, incluindo a Legislação em matéria de Proteção de Dados, relativamente ao seu tratamento de Dados do Cliente e a quaisquer instruções de tratamento que emita à Ocoya; e (ii) prestou, e continuará a prestar, todas as informações e obteve, e continuará a obter, todos os consentimentos e direitos necessários nos termos da Legislação em matéria de Proteção de Dados para que a Ocoya trate os Dados do Cliente para as finalidades descritas no Acordo. O Cliente será o único responsável pela exatidão, qualidade e licitude dos Dados do Cliente e pelos meios através dos quais o Cliente obteve os Dados do Cliente. Sem prejuízo da generalidade do que precede, o Cliente aceita que será responsável pelo cumprimento de todas as leis (incluindo a Legislação em matéria de Proteção de Dados) aplicáveis a quaisquer Campanhas (conforme definidas no Acordo) ou outros conteúdos criados, enviados ou geridos através do Serviço.

Licitude das instruções do Cliente — O Cliente assegurará que o tratamento dos Dados do Cliente pela Ocoya em conformidade com as instruções do Cliente não fará com que a Ocoya viole qualquer lei, regulamento ou norma aplicável, incluindo, sem limitação, a Legislação em matéria de Proteção de Dados. A Ocoya notificará prontamente o Cliente por escrito, salvo se tal lhe for proibido nos termos da Legislação Europeia em matéria de Proteção de Dados, caso tome conhecimento ou considere que qualquer instrução de tratamento de dados do Cliente viola a Legislação Europeia em matéria de Proteção de Dados. Caso o Cliente atue como subcontratante em nome de um responsável pelo tratamento terceiro (ou de outro intermediário do responsável pelo tratamento final), o Cliente garante que as suas instruções de tratamento, tal como estabelecidas no Acordo e na presente DPA, incluindo as suas autorizações à Ocoya para a nomeação de Subcontratantes Ulteriores nos termos da presente DPA, foram autorizadas pelo responsável pelo tratamento relevante. O Cliente será o único ponto de contacto da Ocoya, e a Ocoya não necessita de interagir diretamente (incluindo para efetuar notificações ou solicitar autorizações) com qualquer responsável pelo tratamento terceiro, exceto através da prestação regular do Serviço na medida exigida pelo Acordo. O Cliente será responsável por reencaminhar quaisquer notificações recebidas ao abrigo da presente DPA ao responsável pelo tratamento relevante, quando adequado.

3. Subcontratação ulterior

Subcontratantes ulteriores autorizados — O Cliente aceita que a Ocoya pode contratar Subcontratantes Ulteriores para tratar Dados do Cliente em nome do Cliente. Os Subcontratantes Ulteriores atualmente contratados pela Ocoya e autorizados pela Ocoya deverá notificar o Cliente caso acrescente ou remova Subcontratantes Ulteriores com uma antecedência mínima de 10 dias relativamente a quaisquer dessas alterações, caso o Cliente opte por receber tais notificações.

Obrigações dos subcontratantes ulteriores — A Ocoya deverá: (i) celebrar um acordo escrito com cada Subcontratante Ulterior que contenha obrigações de proteção de dados que proporcionem, pelo menos, o mesmo nível de proteção dos Dados do Cliente que as previstas na presente DPA, na medida em que sejam aplicáveis à natureza do serviço prestado por esse Subcontratante Ulterior; e (ii) continuar a ser responsável pelo cumprimento, por esse Subcontratante Ulterior, das obrigações da presente DPA e por quaisquer atos ou omissões desse Subcontratante Ulterior que levem a Ocoya a violar qualquer das suas obrigações ao abrigo da presente DPA. O Cliente reconhece e aceita que, quando aplicável, a Ocoya cumpre as suas obrigações nos termos da Cláusula 9 das Cláusulas de 2021 entre Responsável pelo Tratamento e Subcontratante e das Cláusulas de 2021 entre Subcontratantes (conforme aplicável) mediante o cumprimento da presente Secção 3, e que a Ocoya pode estar impedida de divulgar ao Cliente os acordos com Subcontratantes Ulteriores devido a restrições de confidencialidade; no entanto, a Ocoya deverá, mediante pedido, envidar esforços razoáveis para fornecer ao Cliente todas as informações relevantes que razoavelmente possa relativamente aos acordos com Subcontratantes Ulteriores.

4. Segurança

Medidas de Segurança — A Ocoya aplicará e manterá medidas de segurança técnicas e organizativas adequadas, concebidas para proteger os Dados do Cliente contra Incidentes de Segurança e para preservar a segurança e a confidencialidade dos Dados do Cliente, em conformidade com as normas de segurança da Ocoya descritas no Anexo B (“Medidas de Segurança”) da presente DPA.

Confidencialidade do tratamento — A Ocoya assegurará que qualquer pessoa autorizada pela Ocoya a tratar Dados do Cliente (incluindo o seu pessoal, agentes e subcontratados) fica sujeita a uma obrigação de confidencialidade adequada (seja um dever contratual ou legal).

Atualizações das medidas de segurança — O Cliente é responsável por analisar as informações disponibilizadas pela Ocoya relativas à segurança dos dados e por determinar de forma independente se o Serviço satisfaz os requisitos e as obrigações legais do Cliente nos termos da Legislação em matéria de Proteção de Dados. O Cliente reconhece que as Medidas de Segurança estão sujeitas ao progresso e desenvolvimento técnicos e que a Ocoya pode atualizar ou modificar as Medidas de Segurança periodicamente, desde que tais atualizações e modificações não resultem na degradação da segurança global do Serviço prestado ao Cliente.

Resposta a Incidentes de Segurança — Ao tomar conhecimento de um Incidente de Segurança, a Ocoya deverá: (i) notificar o Cliente sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter tomado conhecimento; (ii) prestar informações atempadas relativas ao Incidente de Segurança, à medida que estas forem conhecidas ou conforme razoavelmente solicitado pelo Cliente; e (iii) tomar prontamente medidas razoáveis para conter e investigar qualquer Incidente de Segurança. A notificação ou a resposta da Ocoya a um Incidente de Segurança ao abrigo da presente Secção 4.4 não será interpretada como um reconhecimento, por parte da Ocoya, de qualquer culpa ou responsabilidade relativamente ao Incidente de Segurança.

Responsabilidades do Cliente — Não obstante o que precede, o Cliente aceita que, salvo disposição em contrário na presente DPA, o Cliente é responsável pela utilização segura do Serviço, incluindo a proteção das credenciais de autenticação da sua conta, a proteção da segurança dos Dados do Cliente durante o trânsito de e para o Serviço, e a adoção de quaisquer medidas adequadas para cifrar de forma segura ou efetuar cópias de segurança de quaisquer Dados do Cliente carregados no Serviço.

5. Relatórios de segurança e auditorias

Direitos de auditoria — A Ocoya disponibilizará ao Cliente todas as informações razoavelmente necessárias para demonstrar o cumprimento da presente DPA e permitirá e contribuirá para auditorias, incluindo inspeções realizadas pelo Cliente, a fim de avaliar o cumprimento da presente DPA. O Cliente reconhece e aceita que exercerá os seus direitos de auditoria ao abrigo da presente DPA (incluindo a presente Secção 5.1 e, quando aplicável, as CCT) e quaisquer direitos de auditoria conferidos pela Legislação em matéria de Proteção de Dados, instruindo a Ocoya a cumprir as medidas de auditoria descritas nas secções abaixo.

Relatórios de segurança — O Cliente reconhece que a Ocoya é regularmente auditada segundo as normas SSAE 16 e PCI por auditores terceiros independentes e por auditores internos, respetivamente. Mediante pedido escrito, a Ocoya fornecerá ao Cliente (a título confidencial) uma cópia resumida do(s) seu(s) relatório(s) de auditoria mais recente(s) (“Relatório”), para que o Cliente possa verificar o cumprimento pela Ocoya das normas de auditoria segundo as quais foi avaliada e da presente DPA.

Diligência devida em matéria de segurança — Para além do Relatório, a Ocoya responderá a todos os pedidos razoáveis de informação apresentados pelo Cliente para confirmar o cumprimento da presente DPA pela Ocoya, incluindo respostas a questionários de segurança da informação, de diligência devida e de auditoria, disponibilizando informações adicionais relativas ao seu programa de segurança da informação mediante pedido escrito do Cliente dirigido a support@ocoya.com, desde que o Cliente não exerça este direito mais do que uma vez por ano civil.

6. Transferências internacionais

Localização dos centros de dados — Sem prejuízo da Secção abaixo, o Cliente reconhece que a Ocoya pode transferir e tratar Dados do Cliente para os e nos Estados Unidos e em qualquer outro local do mundo onde a Ocoya, as suas Afiliadas ou os seus Subcontratantes Ulteriores mantenham operações de tratamento de dados. A Ocoya assegurará, a todo o momento, que tais transferências são efetuadas em conformidade com os requisitos da Legislação em matéria de Proteção de Dados e da presente DPA.

Dados australianos. Na medida em que a Ocoya seja destinatária de Dados do Cliente protegidos pela Legislação Australiana em matéria de Privacidade, as partes reconhecem e acordam que a Ocoya pode transferir esses Dados do Cliente para fora da Austrália, conforme permitido pelos termos acordados entre as partes e desde que a Ocoya cumpra a presente DPA e a Legislação Australiana em matéria de Privacidade.

Transferências de dados do EEE. Na medida em que a Ocoya seja destinatária de Dados do Cliente protegidos pelo RGPD num país fora do EEE que não seja reconhecido como assegurando um nível de proteção adequado dos dados pessoais (conforme descrito na Legislação Europeia em matéria de Proteção de Dados aplicável), as partes acordam em respeitar as CCT e em tratar esses Dados do Cliente em conformidade com as mesmas, as quais serão incorporadas na presente DPA e dela farão parte integrante.

Transferências de dados do Reino Unido. Relativamente às transferências às quais se aplique a Legislação do Reino Unido em matéria de Proteção de Dados, aplicar-se-ão as CCT, que serão consideradas alteradas conforme especificado na Adenda do Reino Unido. A Adenda do Reino Unido será considerada celebrada pelas partes e incorporada na presente DPA, dela fazendo parte integrante. Adicionalmente: os Quadros 1 a 3 da Parte 1 da Adenda do Reino Unido serão considerados preenchidos com as informações constantes dos Anexos I e II das CCT relevantes; e o Quadro 4 da Parte 1 da Adenda do Reino Unido será considerado preenchido mediante a seleção de “nenhuma das partes”.

Transferências de dados da Suíça. Relativamente às transferências às quais se aplique a LPD Suíça, aplicar-se-ão as CCT nos termos da Secção 6.3, com as seguintes modificações: (i) as referências ao “Regulamento (UE) 2016/679” serão interpretadas como referências à LPD Suíça; (ii) as referências a artigos específicos do “Regulamento (UE) 2016/679” serão substituídas pelo artigo ou secção equivalente da LPD Suíça; (iii) as referências a “UE”, “União” e “direito do Estado-Membro” serão substituídas por “Suíça”; (iv) a Cláusula 13(a) e a Parte C do Anexo Il serão suprimidas; (v) as referências à “autoridade de controlo competente” e aos “tribunais competentes” serão substituídas por “o Comissário Federal Suíço para a Proteção de Dados e a Informação” e “os tribunais relevantes da Suíça”; (vi) a Cláusula 17 será substituída de modo a estabelecer que “As Cláusulas são regidas pela lei da Suíça”; e (vii) a Cláusula 18 será substituída de modo a estabelecer que “Qualquer litígio decorrente das presentes Cláusulas será resolvido pelos tribunais competentes da Suíça. As partes aceitam submeter-se à jurisdição desses tribunais”.

Cumprimento das CCT. As partes acordam que, se a Ocoya não puder assegurar o cumprimento das CCT, informará prontamente o Cliente da sua impossibilidade de as cumprir. Se o Cliente pretender suspender a transferência de Dados Europeus e/ou rescindir as partes afetadas do Serviço, deverá primeiro notificar a Ocoya e conceder à Ocoya um prazo razoável para sanar esse incumprimento, período durante o qual a Ocoya e o Cliente cooperarão razoavelmente para acordar as garantias ou medidas adicionais que, eventualmente, possam ser razoavelmente necessárias. O Cliente apenas terá o direito de suspender a transferência de dados e/ou rescindir as partes afetadas do Serviço por incumprimento das CCT se a Ocoya não tiver sanado ou não puder sanar o incumprimento num prazo razoável.

Mecanismo de transferência alternativo. Na medida em que a Ocoya adote um mecanismo lícito alternativo de transferência de dados para a transferência de Dados Europeus que não esteja descrito na presente DPA (“Mecanismo de Transferência Alternativo”), o Mecanismo de Transferência Alternativo aplicar-se-á em vez dos mecanismos de transferência descritos na presente DPA (mas apenas na medida em que esse Mecanismo de Transferência Alternativo cumpra a Legislação Europeia em matéria de Proteção de Dados aplicável e abranja os países para os quais os Dados Europeus são transferidos). Além disso, se e na medida em que um tribunal competente ou uma autoridade de controlo determine (por qualquer motivo) que as medidas descritas na presente DPA não podem ser invocadas para transferir licitamente Dados Europeus (na aceção da Legislação Europeia em matéria de Proteção de Dados aplicável), a Ocoya pode aplicar quaisquer medidas ou garantias adicionais que possam ser razoavelmente necessárias para permitir a transferência lícita de Dados Europeus.

7. Devolução ou apagamento dos dados

Apagamento ou devolução em caso de cessação. Após a cessação ou o termo do Acordo, a Ocoya deverá (por opção do Cliente) apagar ou devolver ao Cliente todos os Dados do Cliente (incluindo cópias) que se encontrem na sua posse ou sob o seu controlo, exceto que este requisito não se aplicará na medida em que a Ocoya seja obrigada pela lei aplicável a conservar a totalidade ou parte dos Dados do Cliente, nem aos Dados do Cliente que tenha arquivado em sistemas de cópia de segurança, Dados do Cliente esses que a Ocoya isolará de forma segura, protegerá contra qualquer tratamento posterior e acabará por apagar em conformidade com as políticas de apagamento da Ocoya, exceto na medida exigida pela lei aplicável. As partes acordam que a certificação do apagamento dos Dados do Cliente descrita nas Cláusulas 8.5 e 16(d) das Cláusulas de 2021 entre Responsável pelo Tratamento e Subcontratante e das Cláusulas de 2021 entre Subcontratantes (conforme aplicável) apenas será fornecida pela Ocoya ao Cliente mediante pedido escrito do Cliente.

8. Direitos dos titulares dos dados e cooperação

Pedidos dos titulares dos dados — No âmbito do Serviço, a Ocoya disponibiliza ao Cliente uma série de funcionalidades de autosserviço que o Cliente pode utilizar para obter, retificar, apagar ou limitar a utilização dos Dados do Cliente, e que o Cliente pode utilizar para o auxiliar no cumprimento das suas obrigações (ou das obrigações do seu responsável pelo tratamento terceiro) nos termos da Legislação em matéria de Proteção de Dados no que respeita à resposta a pedidos dos titulares dos dados através da conta do Cliente, sem custos adicionais. Além disso, a Ocoya, tendo em conta a natureza do tratamento, prestará assistência adicional razoável ao Cliente, na medida do possível, para permitir que o Cliente (ou o seu responsável pelo tratamento terceiro) cumpra as suas obrigações de proteção de dados relativas aos direitos dos titulares dos dados nos termos da Legislação em matéria de Proteção de Dados. Caso qualquer pedido desta natureza seja dirigido diretamente à Ocoya, a Ocoya não responderá diretamente a essa comunicação, exceto quando adequado (por exemplo, para orientar o titular dos dados no sentido de contactar o Cliente) ou legalmente exigido, sem autorização prévia do Cliente. Se a Ocoya for obrigada a responder a esse pedido, a Ocoya deverá, quando o Cliente for identificado ou identificável a partir do pedido, notificar prontamente o Cliente e fornecer-lhe uma cópia do pedido, salvo se a Ocoya estiver legalmente proibida de o fazer. Para evitar dúvidas, nada no Acordo (incluindo a presente DPA) restringirá ou impedirá a Ocoya de responder a quaisquer pedidos de titulares dos dados ou de autoridades de proteção de dados relativos a dados pessoais relativamente aos quais a Ocoya seja responsável pelo tratamento.

Avaliação de impacto sobre a proteção de dados — Na medida exigida pela Legislação em matéria de Proteção de Dados aplicável, a Ocoya (tendo em conta a natureza do tratamento e as informações ao dispor da Ocoya) fornecerá todas as informações razoavelmente solicitadas relativas ao Serviço, de modo a permitir que o Cliente realize avaliações de impacto sobre a proteção de dados ou consultas prévias às autoridades de proteção de dados, conforme exigido pela Legislação em matéria de Proteção de Dados. A Ocoya cumprirá o que precede: (i) cumprindo a Secção 5 (Relatórios de Segurança e Auditorias); (ii) fornecendo as informações constantes do Acordo, incluindo a presente DPA; e (iii) se as subalíneas (i) e (ii) anteriores forem insuficientes para que o Cliente cumpra tais obrigações, mediante pedido, prestando assistência razoável adicional (a expensas do Cliente).

9. Termos específicos por jurisdição

Na medida em que a Ocoya trate Dados do Cliente provenientes de uma das jurisdições enumeradas no Anexo C e protegidos pela Legislação em matéria de Proteção de Dados dessa jurisdição, os termos especificados no Anexo C relativamente à(s) jurisdição(ões) aplicável(eis) (“Termos Específicos por Jurisdição”) aplicam-se para além dos termos da presente DPA. Em caso de conflito ou ambiguidade entre os Termos Específicos por Jurisdição e quaisquer outros termos da presente DPA, prevalecerão os Termos Específicos por Jurisdição aplicáveis, mas apenas na medida da aplicabilidade dos Termos Específicos por Jurisdição à Ocoya.

10. Limitação da responsabilidade

A responsabilidade de cada parte e de todas as suas Afiliadas, considerada em conjunto e no seu todo, decorrente ou relacionada com a presente DPA (incluindo as CCT) estará sujeita às exclusões e limitações de responsabilidade estabelecidas no Acordo. Quaisquer reclamações apresentadas contra a Ocoya ou as suas Afiliadas ao abrigo ou em relação com a presente DPA (incluindo, quando aplicável, as CCT) serão apresentadas exclusivamente pela entidade Cliente que é parte no Acordo. Em caso algum qualquer das partes limitará a sua responsabilidade relativamente aos direitos de proteção de dados de qualquer pessoa singular ao abrigo da presente DPA ou de outro modo.

11. Relação com o acordo

A presente DPA manter-se-á em vigor enquanto a Ocoya realizar operações de tratamento de Dados do Cliente em nome do Cliente ou até à cessação do Acordo (e até que todos os Dados do Cliente tenham sido devolvidos ou apagados nos termos da Secção 7.1 acima). As partes acordam que a presente DPA substituirá qualquer acordo de tratamento de dados existente ou documento semelhante que as partes possam ter celebrado anteriormente em relação ao Serviço. Em caso de conflito ou incoerência entre a presente DPA e os Termos de Utilização Padrão, prevalecerão as disposições dos seguintes documentos (por ordem de precedência): (i) as CCT; em seguida, (ii) a presente DPA; e, por último, (iii) os Termos de Utilização Padrão. Com exceção de quaisquer alterações introduzidas pela presente DPA, o Acordo permanece inalterado e em pleno vigor e efeito. Ninguém, para além de uma parte na presente DPA, os seus sucessores e cessionários autorizados, terá o direito de fazer cumprir qualquer dos seus termos. A presente DPA será regida e interpretada em conformidade com as disposições relativas à lei aplicável e à jurisdição constantes do Acordo, salvo se a Legislação em matéria de Proteção de Dados aplicável exigir o contrário.

12. Contacte-nos

Se tiver alguma questão sobre estes Termos, contacte-nos através de support@ocoya.com.

Anexo A — Detalhes do tratamento de dados

(a) Categorias de titulares dos dados: As categorias de titulares dos dados cujos dados pessoais são tratados incluem (i) Membros (ou seja, utilizadores finais individuais com acesso a uma conta Ocoya) e (ii) Contactos (ou seja, os subscritores do Membro e outras pessoas singulares sobre as quais um Membro nos forneceu informações ou que, de outro modo, interagiram com um Membro através do Serviço).

(b) Categorias de dados pessoais: O Cliente pode carregar, submeter ou de outro modo fornecer determinados dados pessoais ao Serviço, cuja extensão é normalmente determinada e controlada pelo Cliente, a seu exclusivo critério, e que podem incluir os seguintes tipos de dados pessoais:

• Membros: Dados de identificação e de contacto (nome, morada, cargo, dados de contacto, nome de utilizador); informações financeiras (dados do cartão de crédito, dados da conta, informações de pagamento); dados profissionais (entidade empregadora, cargo, localização geográfica, área de responsabilidade).
• Contactos: Dados de identificação e de contacto (nome, data de nascimento, género, informações gerais, profissão ou outras informações demográficas, morada, cargo, dados de contacto, incluindo endereço de correio eletrónico); interesses ou preferências pessoais (incluindo histórico de compras, preferências de marketing e informações de perfis de redes sociais publicamente disponíveis); informações informáticas (endereços IP, dados de utilização, dados de cookies, dados de navegação em linha, dados de localização, dados do navegador); informações financeiras (dados do cartão de crédito, dados da conta, informações de pagamento).

(c) Dados sensíveis tratados (se aplicável): A Ocoya não pretende recolher ou tratar, nem recolhe ou trata intencionalmente, quaisquer Dados Sensíveis no âmbito da prestação do Serviço.

(d) Frequência do tratamento: Contínua e conforme determinado pelo Cliente.

(e) Objeto e natureza do tratamento: A Ocoya presta um serviço de redes sociais, uma plataforma de automatização e marketing e outros serviços conexos, conforme descrito mais detalhadamente no Acordo. O objeto do tratamento de dados ao abrigo da presente DPA são os Dados do Cliente. Os Dados do Cliente serão tratados em conformidade com o Acordo (incluindo a presente DPA) e podem ser sujeitos às seguintes atividades de tratamento: armazenamento e outro tratamento necessário para prestar, manter e melhorar o Serviço prestado ao Cliente nos termos do Acordo; e/ou divulgações em conformidade com o Acordo e/ou conforme imposto pela lei aplicável.

(f) Finalidade do tratamento: A Ocoya apenas tratará Dados do Cliente para as Finalidades Permitidas, que incluirão: (i) o tratamento necessário para prestar o Serviço em conformidade com o Acordo; (ii) o tratamento iniciado pelo Cliente na sua utilização do Serviço; e (iii) o tratamento destinado a cumprir quaisquer outras instruções razoáveis fornecidas pelo Cliente (por exemplo, por correio eletrónico ou pedidos de apoio) que sejam coerentes com os termos do Acordo.

(g) Duração do tratamento e período durante o qual os dados pessoais serão conservados: A Ocoya tratará os Dados do Cliente conforme descrito na Secção 7 (Devolução ou Apagamento dos Dados) da presente DPA.

Anexo B — Termos específicos por jurisdição

Europa

Oposição a Subcontratantes Ulteriores. O Cliente pode opor-se por escrito à nomeação, pela Ocoya, de um novo Subcontratante Ulterior no prazo de cinco (5) dias de calendário a contar da receção da notificação nos termos da Secção 3.1 da DPA, desde que tal oposição se baseie em motivos razoáveis relacionados com a proteção de dados. Nesse caso, as partes discutirão tais preocupações de boa-fé, com vista a alcançar uma solução comercialmente razoável. Se não for possível alcançar tal solução, a Ocoya, a seu exclusivo critério, não nomeará esse Subcontratante Ulterior ou permitirá que o Cliente suspenda ou rescinda o Serviço afetado em conformidade com as disposições relativas à cessação constantes do Acordo, sem responsabilidade para qualquer das partes (mas sem prejuízo de quaisquer taxas incorridas pelo Cliente antes da suspensão ou cessação).

Pedidos de acesso a dados por parte de autoridades públicas. Por norma, a Ocoya não concede voluntariamente a agências ou autoridades governamentais (incluindo autoridades policiais) acesso a contas Ocoya (incluindo Dados do Cliente) nem informações sobre as mesmas. Se a Ocoya receber um pedido vinculativo (seja através de intimação, decisão judicial, mandado de busca ou outro processo legal válido) de qualquer agência ou autoridade governamental (incluindo autoridades policiais) para acesso a, ou informações sobre, uma conta Ocoya (incluindo Dados do Cliente) pertencente a um Cliente cujas informações de contacto principais indiquem que o Cliente está localizado na Europa, a Ocoya deverá: (i) analisar a legalidade do pedido; (ii) informar a agência governamental de que a Ocoya é um subcontratante dos dados; (iii) procurar redirecionar a agência para solicitar os dados diretamente ao Cliente; (iv) notificar o Cliente do pedido por correio eletrónico enviado para o endereço de correio eletrónico de contacto principal do Cliente, a fim de permitir que o Cliente requeira uma medida cautelar ou outra via de recurso adequada; e (v) fornecer a quantidade mínima de informações admissível ao responder à agência ou autoridade, com base numa interpretação razoável do pedido. No âmbito deste esforço, a Ocoya pode fornecer à agência as informações de contacto principal e de faturação do Cliente. A Ocoya não será obrigada a cumprir o presente n.º 2 se estiver legalmente proibida de o fazer, ou se tiver uma convicção razoável e de boa-fé de que o acesso urgente é necessário para prevenir um risco iminente de danos graves para qualquer pessoa singular, para a segurança pública ou para os bens da Ocoya, o Sítio da Ocoya ou o Serviço; contudo, caso a Ocoya esteja legalmente proibida de notificar o Cliente dos pedidos, envidará os seus melhores esforços para obter a dispensa dessa proibição.

Califórnia

Salvo descrição em contrário, as definições de: “responsável pelo tratamento” inclui “Empresa” (Business); “subcontratante” inclui “Prestador de Serviços” (Service Provider); “titular dos dados” inclui “Consumidor” (Consumer); “dados pessoais” inclui “Informações Pessoais” (Personal Information); em cada caso conforme definido na CCPA.

Apenas para efeitos da presente secção “Califórnia” do Anexo B, as “Finalidades Permitidas” incluirão o tratamento de Dados do Cliente apenas para as finalidades descritas na presente DPA e em conformidade com as instruções lícitas documentadas do Cliente, tal como estabelecidas na presente DPA, na medida do necessário para cumprir a lei aplicável, conforme acordado de outro modo por escrito, incluindo, sem limitação, no Acordo, ou conforme possa ser de outro modo permitido a “prestadores de serviços” nos termos da CCPA.

As obrigações da Ocoya relativas aos pedidos dos titulares dos dados, conforme descritas na Secção 8 (Direitos dos Titulares dos Dados e Cooperação) da presente DPA, abrangem os pedidos de exercício de direitos nos termos da CCPA.

Não obstante qualquer restrição de utilização contida noutra parte da presente DPA, a Ocoya tratará os Dados do Cliente para prestar o Serviço, para as Finalidades Permitidas e/ou em conformidade com as instruções lícitas documentadas do Cliente, ou conforme de outro modo permitido ou exigido pela lei aplicável.

Não obstante qualquer restrição de utilização contida noutra parte do presente Anexo B, a Ocoya pode desidentificar ou agregar Dados do Cliente no âmbito da prestação do Serviço especificado na presente DPA e no Acordo.

Caso os Subcontratantes Ulteriores tratem as Informações Pessoais dos contactos do Cliente, a Ocoya toma medidas para assegurar que tais Subcontratantes Ulteriores são Prestadores de Serviços nos termos da CCPA com os quais a Ocoya celebrou um contrato escrito que inclui termos substancialmente semelhantes aos da presente secção “Califórnia” do Anexo B, ou que estão de outro modo excluídos da definição de “venda” da CCPA. A Ocoya exerce a devida diligência adequada relativamente aos seus Subcontratantes Ulteriores.

Canadá

A Ocoya toma medidas para assegurar que os Subcontratantes Ulteriores da Ocoya, conforme descritos na Secção 3 (Subcontratação Ulterior) da DPA, são terceiros nos termos da PIPEDA, com os quais a Ocoya celebrou um contrato escrito que inclui termos substancialmente semelhantes aos da presente DPA. A Ocoya exerce a devida diligência adequada relativamente aos seus Subcontratantes Ulteriores.

A Ocoya aplicará medidas técnicas e organizativas conforme estabelecido na Secção 4 (Segurança) da DPA.