Acordo de Processamento de Dados Pessoais

1. Introdução 

Este Acordo de Processamento de Dados Pessoais (“Anexo”) é parte inseparável dos Termos e Condições Gerais de Uso celebrados entre a Liid Oy (“Fornecedor”) e você (“Cliente”) no momento em que você baixou o aplicativo denominado “Liid for CRM” e aceitou os Termos e Condições mencionados anteriormente (“Contrato”). 

O objetivo deste Anexo é estabelecer as condições relativas à privacidade e à proteção dos Dados Pessoais do Controlador nos serviços do Fornecedor. Este Anexo constitui um acordo por escrito, em conformidade com o Regulamento Geral sobre a Proteção de Dados da União Europeia (679/2016) (“Regulamento”), relativo ao processamento de dados pessoais. As obrigações e os direitos diretamente baseados no Regulamento Geral sobre a Proteção de Dados da UE entram em vigor a partir de 25 de maio de 2018.

Caso haja conflito entre os termos relativos ao Processamento de Dados Pessoais deste Anexo e os termos do Contrato, as partes deverão aplicar prioritariamente os termos deste Anexo.

2. Definições 

De acordo com o Regulamento Geral sobre a Proteção de Dados da União Europeia, os termos abaixo são definidos da seguinte forma:

• “Controlador” significa o Cliente ou o cliente do Cliente, responsável por definir as finalidades e os métodos do Processamento de Dados Pessoais.

• “Processador” significa o Fornecedor, que Processa Dados Pessoais em nome do Controlador com base no Contrato.

• “Processamento” ou “Atividades de Processamento” significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais ou conjuntos de dados pessoais, por meios automatizados ou manualmente, incluindo coleta, registro, organização, estruturação, armazenamento, adaptação, alteração, recuperação, consulta, utilização, divulgação por transmissão, disseminação ou disponibilização, alinhamento, combinação, restrição, exclusão ou destruição.

• “Dados Pessoais” significa qualquer informação relacionada a uma pessoa física identificada ou identificável, doravante denominada “Titular dos Dados”. Uma pessoa física identificável é aquela que pode ser identificada direta ou indiretamente, especialmente por meio de identificadores como nome, número de identificação, dados de localização, identificador on-line ou fatores relacionados à sua identidade física, fisiológica, genética, mental, econômica, cultural ou social.

• “Violação de Dados Pessoais” significa uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilegal a Dados Pessoais transmitidos, armazenados ou Processados de outra forma.

3. Proteção e Processamento de Dados Pessoais 

3.1 Obrigações do Fornecedor e do Cliente 

O Fornecedor deverá processar os Dados Pessoais do Controlador em nome e por solicitação do Cliente, com base no Contrato. Os Dados Pessoais processados pelo Fornecedor podem estar relacionados, por exemplo, a funcionários ou clientes. O Cliente ou o cliente do Cliente será o Controlador, e o Fornecedor será o Processador dos Dados Pessoais processados no serviço. As partes comprometem-se a cumprir a legislação, os regulamentos, as determinações das autoridades e as diretrizes aplicáveis ao Processamento de Dados Pessoais vigentes na Finlândia e na União Europeia.

O Controlador é responsável por possuir os direitos e fundamentos jurídicos necessários e por obter os consentimentos necessários para o Processamento de Dados Pessoais. O Controlador também é responsável por elaborar a política de privacidade e informar os Titulares dos Dados. O Cliente é responsável pela validade dos dados pessoais fornecidos ao Fornecedor. O Controlador tem o direito e a obrigação de definir a finalidade e os métodos do Processamento de Dados Pessoais. O Fornecedor somente poderá Processar Dados Pessoais e outros dados do Controlador com base no Contrato, neste Anexo e de acordo com as instruções por escrito do Cliente, e somente na medida necessária para fornecer os serviços.

O Fornecedor deverá notificar o Cliente caso identifique qualquer conflito entre as instruções recebidas e a legislação de proteção de dados da UE ou da Finlândia. O Fornecedor também poderá coletar dados anônimos e estatísticos sobre a utilização dos serviços, desde que esses dados não identifiquem o Cliente nem os Titulares dos Dados, para análise e desenvolvimento dos serviços.

3.2 Exclusão ou devolução dos dados 

Após o término do Contrato, o Fornecedor deverá, de acordo com as instruções do Cliente, devolver ou excluir todos os Dados Pessoais do Controlador, bem como excluir todas as cópias existentes, salvo quando a legislação aplicável exigir a retenção dos Dados Pessoais. 

3.3 Subcontratados 

O Fornecedor poderá utilizar subcontratados para Processar os Dados Pessoais do Controlador. O Fornecedor será responsável pelas ações de seus subcontratados como se fossem suas próprias ações e deverá celebrar acordos por escrito com os subcontratados relativos ao Processamento de Dados Pessoais. Mediante solicitação, o Fornecedor deverá informar previamente ao Cliente sobre os subcontratados que pretende utilizar no processamento dos dados pessoais de acordo com o Contrato. O Cliente poderá se opor à utilização de um novo subcontratado por motivos razoáveis. Caso as partes não cheguem a um acordo, o Cliente poderá rescindir o Contrato mediante aviso prévio de 30 dias, na medida em que a alteração do subcontratado afete o Processamento de Dados Pessoais.

3.4 Obrigação do Fornecedor de prestar assistência 

O Fornecedor deverá encaminhar imediatamente ao Cliente todas as solicitações recebidas dos Titulares dos Dados relacionadas ao acesso, retificação, exclusão, oposição ao Processamento de Dados Pessoais ou outras solicitações. Mediante solicitação do Cliente, o Fornecedor deverá auxiliá-lo no atendimento às solicitações dos Titulares dos Dados.

Considerando a natureza do Processamento e os dados disponíveis, o Fornecedor deverá auxiliar o Cliente no cumprimento de suas obrigações legais, incluindo requisitos relacionados à segurança de dados, notificações de violações de dados, avaliações de impacto sobre a proteção de dados e consultas prévias. O Fornecedor deverá encaminhar ao Cliente todas as consultas realizadas pelas autoridades de proteção de dados e aguardar novas instruções do Cliente.

4. Processamento realizado fora da UE/EEE 

O Fornecedor e seus subcontratados poderão Processar Dados Pessoais fora da União Europeia (UE) / Espaço Econômico Europeu (EEE). Quando essas transferências ou Processamentos ocorrerem, o Fornecedor deverá garantir a aplicação das cláusulas contratuais padrão da Comissão Europeia mencionadas no Anexo ou de outra salvaguarda jurídica semelhante aprovada pelo Regulamento.

Ao assinar este Anexo, o Cliente concede ao Fornecedor uma procuração para representá-lo na assinatura dessas cláusulas contratuais em nome do Cliente.

5. Auditoria 

O Cliente ou um auditor autorizado pelo Cliente, desde que não seja concorrente do Fornecedor, terá o direito de auditar as atividades realizadas de acordo com este Anexo. As partes deverão acordar previamente a data e os demais detalhes da auditoria, com pelo menos 14 dias de antecedência. A auditoria deverá ser realizada de maneira que não prejudique as obrigações do Fornecedor ou de seus subcontratados perante terceiros.

Os representantes do Cliente e o auditor deverão assinar compromissos de confidencialidade adequados. O Cliente será responsável por suas próprias despesas e pelas despesas do Fornecedor relacionadas à auditoria. Caso sejam identificadas falhas significativas durante a auditoria, o Fornecedor será responsável pelos custos decorrentes da auditoria.

6. Segurança de dados 

O Fornecedor deverá implementar medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Controlador, levando em consideração todos os riscos relacionados ao Processamento, especialmente:

• destruição acidental ou ilegal;

• perda;

• alteração;

• divulgação não autorizada; ou

• acesso não autorizado aos Dados Pessoais transmitidos, armazenados ou Processados.

Ao organizar as medidas de segurança, as opções técnicas e seus custos deverão ser avaliados em relação aos riscos específicos do Processamento e à sensibilidade dos Dados Pessoais. O Cliente deverá informar ao Fornecedor todas as circunstâncias relevantes relacionadas aos Dados Pessoais fornecidos que possam afetar essas medidas técnicas e organizacionais. O Fornecedor deverá garantir que seus funcionários e os funcionários de seus subcontratados cumpram os compromissos de confidencialidade apropriados.

7. Violações de dados 

O Fornecedor deverá notificar o Cliente sobre todas as Violações de Dados Pessoais sem demora indevida, em até 72 horas após tomar conhecimento da violação ou após um subcontratado do Fornecedor tomar conhecimento dela.

Mediante solicitação do Cliente, o Fornecedor deverá fornecer, sem demora indevida, todas as informações relevantes disponíveis sobre a violação, incluindo:

• (a) a violação de dados ocorrida;

• (b) quando possível, as categorias e o número aproximado de Titulares dos Dados afetados, bem como as categorias e o número estimado de registros de Dados Pessoais;

• (c) uma descrição das prováveis consequências da violação de dados; e

• (d) uma descrição das medidas corretivas que o Fornecedor implementou ou implementará para prevenir futuras violações e, quando necessário, minimizar seus efeitos prejudiciais.

O Fornecedor deverá documentar e comunicar ao Cliente os resultados da investigação e as medidas implementadas.

O Cliente será responsável pelas notificações necessárias às autoridades de proteção de dados.

8. Outras disposições 

Se qualquer dano material ou imaterial for causado a uma pessoa em decorrência de uma violação do Regulamento Geral sobre a Proteção de Dados da UE ou deste Anexo, o Fornecedor será responsável pelo dano apenas na medida em que não tenha cumprido explicitamente as obrigações aplicáveis aos Processadores de Dados Pessoais previstas no Regulamento ou neste Anexo.

Ambas as partes serão responsáveis apenas pela parcela dos danos ou multas administrativas correspondente à responsabilidade confirmada por decisão definitiva de uma autoridade de proteção de dados ou tribunal.

O Fornecedor deverá notificar o Cliente por escrito sobre quaisquer alterações que possam afetar sua capacidade de cumprir este Anexo e as instruções por escrito do Cliente.

Quaisquer adições ou alterações deste Anexo deverão ser acordadas por escrito.

Este Anexo entrará em vigor após sua assinatura por ambas as partes e permanecerá vigente:

• enquanto o Contrato estiver em vigor; ou

• enquanto as partes tiverem obrigações entre si relacionadas ao Processamento de Dados Pessoais.

As obrigações que, por sua natureza, devam continuar após o término deste Anexo permanecerão em vigor.

Anexo — Especificação do Processamento de Dados 

1. Aplicabilidade 

Este formulário de Especificação de Processamento é parte inseparável do Anexo relativo ao Processamento de Dados Pessoais. O formulário especifica a atividade de Processamento realizada pelo Processador em benefício do Controlador, de acordo com o Contrato e este Anexo.

2. Serviços 

O Processamento refere-se aos serviços de Automação e Enriquecimento dos dados de CRM das empresas clientes da LiiD. 

3. Localização geográfica dos Dados Pessoais 

Os Dados Pessoais são processados dentro e fora da UE/EEE, incluindo, entre outros países, os Estados Unidos da América.

4. Categorias de Titulares dos Dados 

Os Dados Pessoais Processados referem-se às seguintes categorias de Titulares dos Dados:

• funcionários das empresas clientes da LiiD;

• usuários do aplicativo LiiD;

• pessoas de contato dos clientes das empresas clientes da LiiD;

• consumidores que são clientes dos clientes da LiiD.

5. Tipos de Dados Pessoais 

Os tipos de Dados Pessoais processados podem incluir, por exemplo: dados de clientes e fornecedores; nome; cargo; endereço residencial; número de telefone; endereço de e-mail; data de nascimento; gênero;número de cliente; histórico de compras e utilização de serviços; dados financeiros; dados de funcionários e pessoal; dados de gerenciamento de TI; identificação técnica; nomesde usuário; localização; informações de contato; logs de sistemas e aplicativos; logs de segurança; dados de monitoramento de instalações e sistemas; e dados relacionados a violações de segurança.  

Os Dados Pessoais Processados no serviço incluem especificamente:

• Nome

• Empresa

• Cargo

• Endereço de e-mail

• Número de telefone

• Endereço e outras informações de contato

• Informações relacionadas às atividades com clientes, como chamadas telefônicas, conversas por e-mail e compromissos de calendário.

INFORMAÇÕES DE CONTATO 

Se você tiver alguma dúvida sobre o Acordo de Processamento de Dados Pessoais, entre em contato conosco pelo e-mail info@liid.com.