Linguagem de Privacidade do MSA

 ADENDO DE PROTEÇÃO DE DADOS

O Cliente celebrou um Contrato Principal ou um contrato de natureza e finalidade semelhantes (doravante denominado “Contrato Principal”) com a GP. A celebração desse Contrato Principal pode implicar o Tratamento de Dados Pessoais. O Cliente e a GP (doravante denominados conjuntamente como “Partes”) concordam que este Adendo de Proteção de Dados (“APD”) estabelece suas obrigações com relação ao tratamento e à segurança dos Dados Pessoais em conexão com os Serviços prestados pela GP ao Cliente nos termos do Contrato Principal, e as Partes concordam em se submeter a este APD. Este APD complementa os termos e condições do Contrato Principal e é incorporado a ele. Em caso de conflito entre este APD e qualquer outro acordo entre as partes sobre as questões aqui estabelecidas, este APD prevalecerá. Se o Cliente já tiver um adendo de proteção de dados vigente com a GP, esse acordo prevalecerá sobre este APD, e este APD não terá força ou efeito, a menos que seja acordado de outra forma por escrito entre o Cliente e a GP.

 

Enquanto:

1. Quando a GP fornece ao Cliente serviços de Empregador Registrado (“EOR”), a GP assume o papel de empregador legal para quaisquer indivíduos selecionados pelo Cliente (“Profissionais”) para serem contratados..
2. Com relação aos Dados Pessoais desses Profissionais, a GP atua como Controladora durante o período da relação de trabalho.
3. Com relação aos Dados Pessoais dos Profissionais coletados e utilizados pelo Cliente para seus próprios fins, o Cliente também é um Controlador com obrigações independentes de privacidade.
4. Ao prestar os serviços de EOR, a troca de Dados Pessoais dos Profissionais entre a GP e o Cliente ocorre sob uma relação independente de Controlador para Controlador e o Os termos de controlador para controlador definidos na seção 2 abaixo serão aplicáveis.
5. A GP também oferece diversos produtos de software como serviço por meio da plataforma da GP (“GPP”), através da qual a GP permite que o Cliente gerencie o relacionamento com esses Profissionais.
6. Ao fornecer ao Cliente acesso ao GPP, a GP atua como Processadora dos dados relacionados à conta carregados no GPP pelos Usuários Autorizados do Cliente. Os termos Controlador-para-Processador definidos na seção 3 abaixo serão aplicados.

 

A GP e o Cliente concordaram com o seguinte:

 

1. DEFINITIONS

1.1. Os termos não definidos neste documento têm os significados estabelecidos no Contrato Principal. As seguintes palavras neste DPA têm os seguintes significados:

1.2. “Usuário Autorizado” significa um indivíduo autorizado pelo Cliente, que pode incluir um funcionário e/ou contratado do Cliente, a acessar e usar o GPP em nome do Cliente, de acordo com a execução do Contrato Principal.

1.3. “Dados do Cliente” significa quaisquer Dados Pessoais relacionados a qualquer Usuário Autorizado ou pessoa física identificável que sejam transferidos, processados ou armazenados pela GP em nome do Cliente para uso do GPP pelo Cliente.

1.4.“ Leis de Proteção de Dados” significa quaisquer leis de proteção de dados e privacidade às quais uma parte deste Contrato esteja sujeita e que sejam aplicáveis aos Serviços prestados, incluindo, quando aplicável, mas não se limitando a, GDPR, GDPR do Reino Unido, Leis de Proteção de Dados Suíças, Leis de Privacidade dos EUA (incluindo leis estaduais e federais) e LGPD do Brasil.

1.5. “RGPD” significa o Regulamento Geral de Proteção de Dados (UE) 2016/679.

1.6. “GPP” significa o software proprietário da G-P, incluindo, sem limitação, o software, a versão móvel, qualquer software contido nele e quaisquer dados disponibilizados por meio do uso do software proprietário da G-P ou de serviços de terceiros, incluindo suas atualizações, upgrades, plataforma como serviço e documentação.

1.7. “EEE” significa Espaço Econômico Europeu.

1.8. “LGPD” significa a Lei nº 13.709 do Brasil, a Lei Geral de Proteção de Dados Pessoais, conforme alterada, revogada ou substituída.

1.9.“ Contrato Principal ” significa o contrato celebrado entre o Cliente e a GP para a prestação dos Serviços.

1.10. “Política de Privacidade” significa a política de privacidade da GP, conforme atualizada periodicamente, disponível em https://www.globalization-partners.com/privacy-policy/

1.11. “Dados dos Profissionais” significa os Dados Pessoais dos Profissionais processados pela GP no âmbito da prestação dos seus serviços de EOR ao Cliente.

1.12. "Transferência Restrita" significa qualquer transferência de Dados Pessoais para um país fora do EEE, do Reino Unido, da Suíça ou do Brasil que não esteja sujeito a uma decisão de adequação sob as Leis de proteção de dados aplicáveis e, portanto, requer salvaguardas apropriadas sob as leis de proteção de dados aplicáveis.

1.13. “Serviços” significa os serviços a serem prestados pela GP ao Cliente sob o Contrato Principal, que podem incluir os serviços EOR e o acesso e uso do GPP.

1.14. “Cláusulas Contratuais Padrão” ou “SCCs” significam (i) onde o RGPD se aplica, as cláusulas contratuais padrão anexas à Decisão de Execução (UE) 2021/914 da Comissão Europeia de 4 de junho 2021 cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, disponíveis em https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32021D0914&from=EN (“SCCs da UE”); (ii) onde o RGPD do Reino Unido se aplica, as cláusulas padrão de proteção de dados aplicáveis adotadas nos termos do artigo 46(2)(c), ou (d) onde o RGPD do Reino Unido significa o Adendo de Transferência Internacional de Dados (“Adendo do Reino Unido”) às Cláusulas Contratuais Padrão da UE emitido pelo Gabinete do Comissário de Informação nos termos do art.119A(1) da Lei de Proteção de Dados 2018, conforme tal Adendo do Reino Unido possa ser revisado nos termos da Seção 18 da mesma (“Cláusulas Contratuais Padrão do Reino Unido”); (iii) onde as Leis Suíças de Proteção de Dados se aplicam, as cláusulas padrão de proteção de dados aplicáveis emitidas, aprovadas ou reconhecidas pela Autoridade Federal Suíça de Proteção de Dados e Gabinete do Comissário de Informação (as “Cláusulas Contratuais Padrão Suíças”); onde a LGPD brasileira se aplica, as cláusulas contratuais padrão aplicáveis, anexas à Resolução CD/ANPD nº 19/2024 promulgada pela Autoridade Nacional de Proteção de Dados do Brasil (“ANPD”), conforme possam ser alteradas de tempos em tempos (“Cláusulas Contratuais Padrão do Brasil”).

1.15. “Leis Suíças de Proteção de Dados” ou “FADP” significa (i) a Lei Federal Suíça de Proteção de Dados (datada de junho 19, 1992, em março de 1, 2019) (“FDPA”); (ii) a Portaria sobre a Lei Federal de Proteção de Dados (“FODP”); e (iii) quaisquer leis nacionais de proteção de dados feitas sob, em conformidade com, substituindo ou sucedendo e qualquer legislação que substitua ou atualize qualquer uma das anteriores.

1.16. “Adendo do Reino Unido” significa o adendo do Reino Unido às Cláusulas Contratuais Padrão da UE sobre transferência internacional de dados, emitido pelo Comissário de Informação do Reino Unido.

1.17. “Leis de Proteção de Dados do Reino Unido” significa o RGPD tal como incorporado na legislação do Reino Unido por força da secção 3 da Lei de Retirada da União Europeia do Reino Unido 2019 (“RGPD do Reino Unido”) e da Lei de Proteção de Dados 2018 (em conjunto, “Leis de Proteção de Dados do Reino Unido”).

1.18. “Leis de Privacidade dos EUA” significa as leis, decretos, regulamentos e orientações regulatórias aplicáveis dos Estados Unidos (EUA) relacionadas ao Processamento de Dados Pessoais, incluindo, entre outras: (a) a CCPA; (b) a Lei de Proteção de Dados do Consumidor da Virgínia; (c) a Lei de Privacidade do Colorado; (d) a Lei de Privacidade de Dados e Monitoramento Online de Connecticut; (e) a Lei de Privacidade do Consumidor de Utah; e (f) todas as leis estaduais similares.

1.19. Os termos"Controlador", "Titular dos Dados", "Dados Pessoais", "Informações Pessoais", "Violação de Dados", "Processador", "Processamento/Tratamento", "Transferência Restrita", "Prestador de Serviços" e/ou quaisquer outros termos e conceitos semelhantes terão os significados definidos nas Leis de Proteção de Dados.

 

 

2. CONTROL OF PERSONAL DATA

2.1. Funções das Partes. Quando a GP atua como Controladora independente, a GP deverá cumprir suas obrigações como Controladora nos termos das Leis de Proteção de Dados ao Processar Dados Pessoais e deverá Processar os Dados Pessoais conforme descrito na Política de Privacidade da GP, disponível em https://www.globalization-partners.com/privacy-policy/. O Cliente deverá cumprir suas obrigações nos termos das Leis de Proteção de Dados ao Processar Dados Pessoais como Controlador. Em nenhuma hipótese as Partes Processarão Dados Pessoais sob este DPA como Controladoras conjuntas.

2.2. Responsabilidades e Reconhecimentos. Cada Parte poderá processar Dados Pessoais ao abrigo deste DPA relativamente aos Dados dos Profissionais como Controladores de Dados independentes. As Partes concordam em cumprir as suas respectivas obrigações e em processar quaisquer Dados Pessoais de forma justa e lícita, em conformidade com este DPA e com todas as Leis de Proteção de Dados aplicáveis às operações de Processamento de Dados Pessoais de cada Parte. Cada Parte deverá assegurar que o seu Processamento de Dados Pessoais se limita à finalidade do GPP fornecido pela GP e se baseia num fundamento jurídico para o processamento lícito. As Partes prestarão assistência mútua no cumprimento das suas respectivas obrigações ao abrigo das Leis de Proteção de Dados, incluindo, entre outras, a assistência mútua em caso de Violação de Dados, respondendo aos pedidos dos Titulares dos Dados e/ou das autoridades reguladoras. 

 

3. PROCESSING OF PERSONAL DATA

 

3.1. Âmbito. A utilização do GPP pode implicar o Processamento de Dados do Cliente pela GP enquanto Processadora ou Prestadora de Serviços em nome do Cliente.

3.2. Instruções. A GP processará os Dados do Cliente de acordo com as instruções documentadas do Cliente. O Cliente concorda que este DPA, o Contrato Principal e O Anexo I, em anexo, contém as instruções completas do Cliente à GP relativamente ao Processamento dos Dados do Cliente. Quaisquer instruções adicionais ou alternativas devem ser acordadas entre as partes por escrito, incluindo os custos (se houver) associados ao cumprimento de tais instruções. O Cliente garantirá que suas instruções estejam em conformidade com as Leis de Proteção de Dados aplicáveis. O Cliente reconhece que a GP não é responsável por determinar quais leis são aplicáveis aos negócios do Cliente. O Cliente garantirá que o processamento dos Dados do Cliente pela GP, quando realizado de acordo com as instruções do Cliente, não fará com que a GP viole qualquer lei aplicável, incluindo as Leis de Proteção de Dados aplicáveis. GP No entanto, se a GP considerar que uma instrução do Cliente infringe as Leis de Proteção de Dados aplicáveis, a GP notificará o Cliente assim que for razoavelmente possível e não será obrigada a cumprir tal instrução infratora.

3.3. Detalhes do Processamento. Os detalhes do objeto do Processamento, sua duração, natureza e finalidade, bem como o tipo de Dados do Cliente e titulares dos dados, estão especificados no Anexo I em anexo. 

3.4. Conformidade. O Cliente e a GP concordam em cumprir suas respectivas obrigações de acordo com as Leis de Proteção de Dados aplicáveis aos Dados do Cliente que são processados conforme especificado no Anexo I. O Cliente é o único responsável por cumprir as Leis de Proteção de Dados relativas à legalidade do Processamento dos Dados do Cliente antes de divulgar, transferir ou disponibilizar de qualquer outra forma quaisquer Dados do Cliente à GP. Para evitar dúvidas, em todos os casos, o Cliente deverá obter, quando necessário, o consentimento dos Titulares dos Dados para que a GP processe os Dados do Cliente conforme as instruções do Cliente.

3.5. Subprocessadores. O Cliente autoriza a GP a nomear e utilizar Processadores (“Subprocessadores”) para processar os Dados do Cliente em conexão com os Serviços. Os subcontratados podem incluir terceiros ou qualquer membro do grupo de empresas GP. A GP poderá continuar a utilizar os subcontratados já contratados pela GP na data deste DPA, e uma lista desses subcontratados encontra-se disponível no Anexo III em anexo. Caso um subcontratado não cumpra as suas obrigações de proteção de dados, conforme especificado acima, a GP será responsável perante o Cliente pelo cumprimento das obrigações do subcontratado. A GP notificará o Cliente de quaisquer alterações à sua lista de subcontratados através do GPP. Se, no prazo de 10 (dez) dias a contar da receção dessa notificação, o Cliente se opuser legitimamente à inclusão ou exclusão de um subcontratado por motivos de proteção de dados e a GP não puder, de forma razoável, acolher a objeção do Cliente, as partes discutirão as preocupações do Cliente de boa-fé, com vista a resolver a questão.

3.6. Medidas de segurança técnicas e organizacionais. Levando em consideração os padrões da indústria, os custos de implementação, a natureza, o escopo, o contexto e as finalidades do Processamento, bem como quaisquer outras circunstâncias relevantes relacionadas ao Processamento dos Dados do Cliente, a GP implementará medidas de segurança técnicas e organizacionais adequadas para garantir que a segurança, a confidencialidade, a integridade, a disponibilidade e a resiliência dos sistemas e serviços de processamento envolvidos no Processamento dos Dados do Cliente sejam proporcionais ao risco inerente a esses Dados do Cliente, conforme detalhado no Anexo II em anexo. A GP irá periodicamente (i) testar e monitorar a eficácia de suas salvaguardas, controles, sistemas e procedimentos e (ii) identificar riscos internos e externos razoavelmente previsíveis à segurança, confidencialidade e integridade dos Dados do Cliente e garantir que esses riscos sejam tratados.

3.7. Confidencialidade. A GP garantirá que as pessoas autorizadas a acessar os Dados do Cliente (i) se comprometam com a confidencialidade ou estejam sujeitas a uma obrigação legal apropriada de confidencialidade e (ii) acessem os Dados do Cliente somente mediante instruções documentadas da GP, a menos que seja exigido por lei aplicável.

3.8. Violação de Dados Pessoais. A GP notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados relacionada ao Processamento de Dados do Cliente e envidará esforços razoáveis para auxiliar o Cliente a mitigar, sempre que possível, os efeitos adversos de qualquer Violação de Dados.

3.9. Exclusão de Dados Pessoais. Após o término dos Serviços (por qualquer motivo), a GP deverá, assim que razoavelmente possível, devolver ou excluir os Dados do Cliente armazenados no GPP, a menos que a legislação aplicável exija o armazenamento dos Dados do Cliente por um período mais longo. Para tal retenção, as disposições deste DPA continuarão a ser aplicáveis a esses Dados do Cliente.

3.10. Solicitações do titular dos dados. A GP informará prontamente o Cliente sobre quaisquer solicitações dos Titulares dos Dados referentes aos Dados do Cliente. O Cliente é responsável por responder a tais solicitações. A GP prestará assistência razoável ao Cliente para responder a essas solicitações dos Titulares dos Dados, na medida em que o Cliente não consiga acessar os Dados do Cliente relevantes ao utilizar a GPP.

3.11. Solicitações de terceiros. Caso a GP receba qualquer solicitação de terceiros ou uma ordem judicial, arbitral, reguladora ou agência governamental com jurisdição competente à qual a GP esteja sujeita, relacionada ao Processamento de Dados do Cliente nos termos do Contrato, a GP encaminhará prontamente a solicitação ao Cliente. A GP não responderá a tais solicitações sem a autorização prévia do Cliente, a menos que seja legalmente obrigada a fazê-lo. A GP, salvo se legalmente proibida de fazê-lo, informará o Cliente antes de divulgar quaisquer Dados do Cliente e cooperará razoavelmente com o Cliente para limitar o escopo de tal divulgação ao que for legalmente exigido. 

3.12. Avaliação de Impacto sobre a Proteção de Dados e Consulta Prévia. Na medida exigida pelas Leis de Proteção de Dados, a GP prestará assistência razoável ao Cliente para a realização de uma avaliação de impacto sobre a proteção de dados em relação ao Tratamento de Dados do Cliente realizado pela GP e/ou quaisquer consultas prévias necessárias junto às autoridades de supervisão. A GP reserva-se o direito de cobrar ao Cliente uma taxa razoável pela prestação dessa assistência.

3.13. Auditoria. O Cliente poderá auditar a conformidade da GP com este DPA e com as Leis de Proteção de Dados, solicitando um certificado emitido para verificação de segurança que reflita o resultado de uma auditoria conduzida por um auditor terceiro (por exemplo, certificação ISO27001 , certificado SOC2 ), dentro de doze (12) meses a partir da data da solicitação do Cliente. Alternativamente, caso a documentação fornecida nos termos desta Seção 3.13 não seja suficiente para demonstrar a conformidade, o Cliente poderá realizar sua própria auditoria, além das certificações ou relatórios de terceiros fornecidos, desde que tal auditoria seja realizada: i) no máximo uma vez a cada 12 (doze) meses; ii) durante o horário comercial normal e sem interromper as atividades diárias da G-P; iii) com trinta (30) dias de antecedência por escrito; iv) às custas exclusivas do Cliente; v) com base em parâmetros e escopo mutuamente acordados, limitados ao escopo específico dos serviços, sistemas em uso e/ou atividades de processamento contempladas neste documento; vi) com base em data previamente acordada entre as partes, sujeita a adiamento razoável por parte do Cliente mediante solicitação razoável da G-P; e vii) em conformidade com todas as obrigações e restrições de confidencialidade. Não obstante o exposto, nenhum direito de auditoria será concedido após o término do Contrato Principal, exceto para obrigações legais que deverão ser comprovadas pelo Cliente. Qualquer representante terceirizado selecionado para realizar uma auditoria em nome do Cliente não poderá ter participação societária ou vínculo com uma empresa de serviços de EOR, agência, organização relacionada ou consultor. Nada neste DPA obrigará a GP a divulgar ao Cliente ou ao seu auditor terceirizado, ou a permitir que o Cliente ou o seu auditor terceirizado acessem: (i) quaisquer dados de qualquer outro cliente da G-P; (ii) informações contábeis ou financeiras internas da G-P; (iii) qualquer segredo comercial da GP ou de suas afiliadas; (iv) qualquer informação que, na opinião razoável da G-P, possa comprometer a segurança de quaisquer sistemas da G-P ou causar qualquer violação de suas obrigações sob a legislação aplicável ou suas obrigações de segurança ou privacidade para com terceiros; ou (v) qualquer informação que o Cliente ou seu auditor terceiro busque acessar por qualquer motivo que não seja o cumprimento de boa-fé das obrigações do Cliente sob as Leis de Proteção de Dados.

3.14. Leis de Privacidade dos EUA. Nos termos desta seção 3 (“Processamento de Dados Pessoais”), asPartes concordam que a GP é uma “Prestadora de Serviços” ou “Processadora”, conforme definidos pelas leis de privacidade dos EUA aplicáveis. Consequentemente, na medida em que as leis de privacidade dos EUA se apliquem ao Processamento de Dados do Cliente pela GP, a GP não deverá (a) reter, usar ou divulgar quaisquer Dados do Cliente fora da relação comercial direta entre a GP e o Cliente, ou para qualquer finalidade que não seja a estabelecida no Anexo I anexo a este documento, e a GP somente processará os Dados do Cliente enquanto prestar serviços ao Cliente; (b) vender quaisquer Dados do Cliente; (c) compartilhar quaisquer Dados do Cliente; ou (d) combinar os Dados do Cliente que a GP recebe do Cliente ou em seu nome com “dados pessoais” (conforme definido pelas leis de proteção de dados aplicáveis) que recebe de outra pessoa ou em seu nome, ou coleta de sua própria interação com um consumidor, desde que a GP possa combinar os Dados do Cliente se isso estiver dentro do escopo da prestação dos serviços ao Cliente. Quando aplicável, cada Parte deverá notificar a outra Parte caso determine que não pode mais cumprir suas obrigações de acordo com as leis de privacidade dos EUA.

 

 

4. International Data Transfers

4.1. Proteção adequada. A GP está autorizada, no curso normal dos negócios, a realizar transferências internacionais de Dados do Cliente para suas afiliadas e/ou Subprocessadores. Ao efetuar tais transferências para um território que não tenha sido reconhecido pelas autoridades de proteção de dados competentes como oferecendo um nível adequado de proteção para Dados Pessoais, de acordo com as Leis de Proteção de Dados, a GP deverá assegurar que existam medidas de proteção adequadas para salvaguardar os Dados do Cliente transferidos ao abrigo do Contrato Principal ou em conexão com o mesmo.

4.2. Quadro de Privacidade de Dados. Os dados de profissionais e clientes são armazenados no GPP, que está hospedado nos EUA. O GPP é certificado pelo Quadro de Privacidade de Dados UE-EUA (EU-US DPF) e, quando aplicável, pela extensão do Reino Unido ao EU-US DPF e pelo Quadro de Privacidade de Dados Suíça-EUA (Swiss-US DPF). A certificação do GP pode ser confirmada publicamente no site do DPF https://www.dataprivacyframework.gov/list. O Quadro de Proteção de Dados UE-EUA foi considerado adequado pela Comissão Europeia, constituindo um mecanismo lícito de transferência de dados nos termos do Artigo 45 do RGPD, do RGPD do Reino Unido e da Lei Federal de Proteção de Dados (FADP), respetivamente. Caso o(s) Quadro(s) de Proteção de Dados seja(m) invalidado(s), suspenso(s) ou deixe(m) de ser reconhecido(s) como fornecendo proteção adequada para transferências internacionais de dados, o Processador concorda em celebrar e cumprir as Cláusulas Contratuais Padrão ( SCCs) emitidas ou aprovadas pela Comissão Europeia, pelo Gabinete do Comissário para a Informação do Reino Unido (ICO) ou pelo Comissário Federal Suíço para a Proteção de Dados e Informação (FDPIC), conforme aplicável. As partes cooperarão de boa-fé para implementar quaisquer medidas suplementares necessárias para garantir um nível de proteção essencialmente equivalente para os dados transferidos.

4.3. Cláusulas Contratuais Padrão. As partes concordam que, quando a transferência de dados pessoais do Cliente (como "exportador de dados") para a GP (como "importadora de dados") for uma Transferência Restrita e as Leis de Proteção de Dados aplicáveis exigirem a implementação de salvaguardas adequadas, tal transferência estará sujeita às Cláusulas Contratuais Padrão apropriadas, as quais serão consideradas incorporadas e farão parte deste DPA, conforme segue:

1. Em relação às transferências de Dados Pessoais que esteja protegido pelo RGPD, as Cláusulas Contratuais Padrão da UE serão aplicáveis, preenchidas da seguinte forma:

1. Os módulos um e dois serão aplicados;
2. Na cláusula 7, a cláusula de ancoragem opcional será aplicada;
3. na Cláusula 9 do Módulo Dois, a Opção 2 será aplicada e o período de tempo para aviso prévio de alterações do Subprocessador será conforme estabelecido na seção 3.5 deste DPA;
4. Na cláusula 11, a linguagem opcional não se aplicará;
5. Na cláusula 12, quaisquer reclamações apresentadas ao abrigo das Cláusulas Contratuais Padrão da UE estarão sujeitas aos termos e condições estabelecidos no Contrato Principal;
6. Na cláusula 17, a opção 1 será aplicada e as Cláusulas Contratuais Padrão da UE serão regidas pela lei irlandesa;
7. Na cláusula 18(b), as disputas serão resolvidas perante os tribunais da Irlanda;
8. O Anexo I das Cláusulas Contratuais Padrão da UE considera-se completo com as informações constantes do Anexo 1 deste DPA; e
9. O Anexo II das Cláusulas Contratuais Padrão da UE será considerado completo com as informações estabelecidas no Anexo 2 deste DPA;
10. O Anexo III do Módulo Dois das Cláusulas Contratuais Padrão da UE será considerado completo com as informações estabelecidas no Anexo 3 deste DPA.

b. Em relação às transferências de dados pessoais protegidos pelas leis de proteção de dados do Reino Unido ou pelas leis de proteção de dados da Suíça, as Cláusulas Contratuais Padrão da UE, conforme implementadas nos termos da alínea (a) acima, serão aplicadas com as seguintes modificações:

1. As referências ao "Regulamento (UE) 2016/679" devem ser interpretadas como referências às leis de proteção de dados do Reino Unido ou às leis de proteção de dados suíças (conforme aplicável);
2. As referências a artigos específicos do "Regulamento (UE) 2016/679" serão substituídas pelo artigo ou secção equivalente das Leis de Proteção de Dados do Reino Unido ou das Leis de Proteção de Dados Suíças (conforme aplicável);
3. As referências a "UE", "União", "Estado-Membro" e "legislação do Estado-Membro" serão substituídas por referências a "Reino Unido" ou "Suíça", ou "legislação do Reino Unido" ou "legislação suíça" (conforme o caso);
4. O termo "Estado-membro" não deve ser interpretado de forma a excluir os titulares de dados no Reino Unido ou na Suíça da possibilidade de exercerem os seus direitos no seu local de residência habitual (ou seja, o Reino Unido ou a Suíça);
5. A cláusula 13(a) e a Parte C do Anexo I não são utilizadas e a "autoridade supervisora competente" é o Comissário de Informação do Reino Unido ou o Comissário Federal Suíço de Informação sobre Proteção de Dados (conforme aplicável);
6. As referências à "autoridade supervisora competente" e aos "tribunais competentes" serão substituídas por referências ao "Comissário de Informação" e aos "tribunais da Inglaterra e do País de Gales" ou ao "Comissário Federal Suíço de Proteção de Dados" e aos "tribunais aplicáveis da Suíça" (conforme o caso);
7. Na Cláusula 17, as Cláusulas Contratuais Padrão serão regidas pelas leis da Inglaterra e do País de Gales ou da Suíça (conforme aplicável); e
8. Com relação às transferências às quais se aplicam as leis de proteção de dados do Reino Unido, a Cláusula 18 será alterada para declarar "Qualquer disputa decorrente destas Cláusulas será resolvida pelos tribunais da Inglaterra e do País de Gales. O titular dos dados pode instaurar um processo judicial contra o exportador e/ou importador de dados perante os tribunais de qualquer país do Reino Unido. As Partes concordam em submeter-se à jurisdição de tais tribunais”, e com relação às transferências às quais se aplicam as Leis Suíças de Proteção de Dados, a Cláusula 18(b) deverá estipular que as disputas serão resolvidas perante os tribunais competentes da Suíça.
9. Em relação aos dados protegidos pelo RGPD do Reino Unido, as Cláusulas Contratuais Padrão da UE serão aplicadas da seguinte forma: (i) serão aplicadas conforme preenchidas de acordo com os parágrafos (i) a (viii) acima; e (ii) serão consideradas alteradas conforme especificado na Parte 2 do Adendo do Reino Unido, que será considerado incorporado e fará parte integrante deste DPA. Além disso, as tabelas 1 a 3 na Parte 1 do Adendo do Reino Unido devem ser preenchidas respectivamente com as informações estabelecidas no Anexo I e no Anexo II deste DPA e a tabela 4 na Parte 1 do Adendo do Reino Unido deve ser considerada preenchida selecionando "nenhuma das partes".

c. Em relação às transferências de dados pessoais protegidos pela LGPD brasileira, seja diretamente ou por meio de transferência subsequente, para um país fora do Brasil que não esteja sujeito a uma decisão de adequação emitida pela ANPD, as Cláusulas Contratuais Padrão (SCCs) brasileiras serão consideradas celebradas e incorporadas a este DPA por esta referência, e completadas da seguinte forma:

1. A cláusula 2 das Cláusulas Contratuais Padrão do Brasil é satisfeita pelas informações estabelecidas no Anexo I, que descreve a transferência de dados;
2. EUn Cláusula 3 das SCCs brasileiras, a Opção B será aplicada, com transferências subsequentes permitidas de acordo com a Seção 3.5 (“Subprocessadores”) deste DPA. O objeto, a natureza e a duração do processamento estão definidos no Anexo I deste DPA;
3. A cláusula 4 das Cláusulas Contratuais Padrão do Brasil é satisfeita pelas informações estabelecidas no Anexo I deste DPA. Quando a GP for Controladora, ela será a “Parte Designada”, conforme definido nas Cláusulas Contratuais Padrão do Brasil, e para os fins da Cláusula 14 (Transparência), Cláusula 15 (Direitos do Titular dos Dados) e Cláusula 16 (Relatório de Incidentes) das Cláusulas Contratuais Padrão do Brasil. O Cliente permanece responsável pelo cumprimento da Cláusula 14 (Transparência), Cláusula 15 (Direitos do Titular dos Dados) e Cláusula 16 Relatório de Incidentes) das Cláusulas Contratuais Padrão do Brasil para quaisquer dados pessoais dos quais ele possa ser Controlador;
4. Na cláusula 9 das Cláusulas Contratuais Padrão do Brasil, a cláusula de acoplamento opcional não se aplicará; e
5. A Seção III (Medidas de Segurança) das Cláusulas Contratuais Padrão (SCCs) brasileiras será considerada completa com as informações estabelecidas no Anexo II deste DPA.

 

Anexo I

Descrição do Processamento de Dados

 

Festas	Exportador de dados: Entidade cliente que executa o Contrato Principal Importador de dados: Entidade GP que executa o Contrato Principal.
Detalhes de contato das partes	Os dados de contato estão definidos no Contrato Principal.
Atividades relevantes para os dados transferidos	Atividades relacionadas aos serviços de EOR e ao uso do GPP fornecido ao Cliente como um serviço.
Atividades de processamento	Os Dados Pessoais tratados/transferidos podem estar sujeitos às seguintes atividades de tratamento: qualquer operação relacionada a Dados Pessoais, independentemente dos meios e procedimentos aplicados, em particular a coleta, organização, armazenamento, guarda, uso, recuperação, consulta, arquivamento, transmissão, bloqueio, eliminação ou destruição de dados, a operação e manutenção de sistemas, o cumprimento de obrigações legais e de auditoria.
Duração do processamento	A GP processará os dados do cliente durante a vigência do Contrato Principal e de forma contínua.
Natureza e Finalidade do Processamento	O Cliente poderá transferir Dados do Cliente para a GP, sendo a extensão dessa transferência determinada e controlada pelo Cliente a seu exclusivo critério. A finalidade do processamento é fornecer os Serviços de acordo com o Contrato Principal.
Categorias de titulares de dados	um) Os Dados Pessoais trocados pelas Partes como Controladores independentes dizem respeito aos Dados Pessoais dos Profissionais. b) Os Dados do Cliente processados pela GP como processadora de dados dizem respeito aos Usuários Autorizados da GPP,que pode incluir funcionários e/ou contratados do Cliente.
Tipos de Dados Pessoais	· Dados de contato (como número de telefone e e-mail). · Dados de funcionários/contratados (como cargo e nome da empresa). · Dados de utilização (como dados sobre o dispositivo do utilizador autorizado e a forma como esse dispositivo interage com a GPP). · Dados de localização (como a localização derivada do endereço IP). · Dados de conteúdo (como o conteúdo dos arquivos do Cliente referentes aos Profissionais e comunicações relacionadas). · Credenciais (como senhas, dicas de senhas e informações de segurança semelhantes usadas para autenticação e acesso à conta do GPP). · Quaisquer dados pessoais fornecidos por usuários autorizados.
Categorias Especiais de Dados (se aplicável)	N / D
Retenção	Os dados pessoais serão conservados, no mínimo, pelo período mínimo de retenção legalmente exigido, em conformidade com os prazos de prescrição aplicáveis e que atenda às boas práticas comerciais.
Autoridade Supervisora Competente	Comissão Irlandesa de Proteção de Dados
Transferências para subprocessadores	Para transferências a processadores, o objeto, a natureza e a duração do processamento são os mesmos definidos acima.
Informações de contato do médico de família sobre privacidade	privacy@G-P.com À atenção de: Escritório Global de Privacidade.

 

 

Anexo II

Medidas técnicas e organizacionais

 

A GP foi certificada e atestada por auditores independentes, confirmando a conformidade com as normas SOC 2 e ISO 27001 Essas certificações demonstram nosso compromisso com a segurança dos dados dos clientes. O programa de segurança da GP foi desenvolvido para:

• Proteger a confidencialidade, integridade e disponibilidade dos Dados do Cliente que estejam em posse da G-P ou aos quais a G-P tenha acesso;
• Proteger contra quaisquer ameaças ou riscos previstos à confidencialidade, integridade e disponibilidade dos Dados do Cliente;
• Proteger contra acesso, uso, divulgação, alteração ou destruição não autorizados ou ilegais dos Dados do Cliente;
• Proteger contra perda acidental, destruição ou dano aos Dados do Cliente; e
• Proteger as informações conforme estabelecido em quaisquer regulamentos que regulem a prática de médicos de clínica geral.

 

A seguir, descrevemos as funções, processos, controles, sistemas, procedimentos e medidas que a GP adotou para garantir a segurança do processamento de dados do cliente:

1) MEDIDAS TÉCNICAS PARA GARANTIR A PRIVACIDADE E A PROTEÇÃO DE DADOS 

1. Privacidade por Design e Padrão: A GP leva em consideração os requisitos do Artigo 25 do GDPR na fase de concepção e desenvolvimento do produto. Os processos e funcionalidades são configurados de forma a que os princípios de proteção de dados, tais como legalidade, transparência, limitação da finalidade, minimização de dados, etc., bem como a segurança do tratamento, sejam considerados numa fase inicial.

2. Criptografia de Dados Pessoais: Garantir que os dados pessoais sejam armazenados no sistema apenas de forma que não permita a terceiros identificar o titular dos dados.

   1. Criptografia de banco de dados e armazenamento: Em todos os bancos de dados usados pela GP, é utilizada criptografia "em repouso" de acordo com o estado da arte, de forma que os dados do banco de dados só possam ser lidos após a devida autenticação no respectivo sistema de banco de dados.

   2. Criptografia de dados móveis: Não é permitido o uso de operadoras de dados móveis para armazenar dados de clientes.

   3. Criptografia de dados em laptops: Criptografia de disco rígido de última geração está instalada em todos os laptops dos funcionários.

   4. Troca criptografada de informações e arquivos: Em princípio, a troca de informações e arquivos é criptografada diretamente por meio de um aplicativo específico. Caso seja necessário transferir dados pessoais ou informações confidenciais para servidores que não suportem o envio via HTTPS com criptografia TLS, a transferência será realizada utilizando o Protocolo de Transferência Segura de Arquivos (SFTP), serviço de envelope criptografado ou outro mecanismo de criptografia, de acordo com o estado da arte.

   5. Criptografia de e-mail: Em princípio, todos os e-mails enviados por funcionários da GP são criptografados com TLS. Exceções podem ocorrer se o servidor de e-mail de destino não suportar TLS. O Cliente deverá garantir que os servidores de correio eletrónico utilizados no âmbito da encomenda suportem a encriptação TLS.

3. Controle de Acesso: Os controles de acesso são implementados e têm como objetivo impedir o uso e o processamento de dados protegidos pelas leis de proteção de dados por pessoas não autorizadas.

   1. Utilização de métodos de autenticação: O acesso a dados pessoais é sempre feito através de protocolos criptografados: SSH, SSL/TLS, HTTPS ou protocolos similares. Procedimento de autenticação para sistema de TI: Autenticação multifator para login no sistema de TI.

   2. Bloqueio automático em caso de inatividade: Os laptops utilizados pelos funcionários da GP são bloqueados com senha ou PIN quando não estão em uso pelo usuário. Além disso, um bloqueio de tela automático com proteção por senha é configurado após 15 minutos de inatividade.

   3. Utilização de software antivírus: Os laptops utilizados pelos funcionários da GP estão equipados com software antivírus de última geração, mantido atualizado em todos os sistemas de TI operacionais ou comerciais. Por princípio, nenhum computador pode ser operado sem proteção antivírus residente, a menos que outras medidas de segurança equivalentes e de última geração tenham sido tomadas ou que não haja risco. As configurações de segurança padrão não devem ser desativadas nem contornadas.

   4. "Política de Mesa Limpa": Os funcionários da GP são instruídos a não imprimir ou armazenar localmente dados pessoais de titulares de dados, a não deixar materiais de trabalho em locais onde possam ser visualizados por terceiros e a armazenar todos os materiais de trabalho adequadamente. Os documentos que o médico de clínica geral é obrigado por lei a manter em formato impresso são armazenados em armários trancados.

4. Controles de acesso na plataforma: Os controles de acesso garantem que as pessoas autorizadas a usar um sistema de processamento tenham acesso apenas aos dados pessoais abrangidos por sua autorização de acesso.

   1. Funções e Autorização

      1. Plataforma de Funções e Autorização – Acesso do Cliente: Os usuários clientes podem visualizar e editar as informações da conta do cliente.

      2. Plataforma de Funções e Autorização – Acesso Profissional: Usuários profissionais podem visualizar e editar suas próprias informações profissionais. Os profissionais também podem obter a função de acesso do cliente mediante solicitação e aprovação.

      3. Plataforma de Funções e Autorização – Acesso Interno: Os usuários com acesso interno possuem funções variadas. Eles têm diferentes níveis de acesso para criar, visualizar, editar e aprovar o seguinte:

         • Informações do cliente

         • Informações de pagamento

         • Informações do parceiro

         • Informações de registros de pessoal profissional

      4. O acesso ao sistema administrativo é geralmente limitado a funcionários treinados nas áreas de suporte ao cliente e desenvolvimento de produtos.

5. Firewall como serviço: O GP utiliza um firewall externo como serviço, o que permite conceder ou bloquear o acesso a sites para garantir que os sistemas não acessem conteúdo malicioso e restringir o acesso a conteúdo inadequado.

6. Registro de login na plataforma: A GP mantém um registro de toda a atividade de login.

7. Separabilidade: Garantir que os dados pessoais coletados para diferentes finalidades possam ser processados separadamente e estejam isolados de outros dados e sistemas, de forma a excluir o uso não planejado desses dados para outras finalidades.

   1. Separação dos ambientes de desenvolvimento, teste e operação: Os dados do ambiente de operação só podem ser transferidos para os ambientes de teste ou desenvolvimento se tiverem sido completamente anonimizados antes da transferência. A transferência dos dados anonimizados deve ser criptografada ou realizada por meio de uma rede confiável. O software a ser transferido para o ambiente operacional deve primeiro ser testado em um ambiente de teste idêntico ("staging"). Programas para análise de erros ou para criação/compilação de software só podem ser usados no ambiente operacional se isso for inevitável. Isso é especialmente relevante se as situações de erro dependerem de dados que seriam falsificados devido aos requisitos de anonimização na transferência para ambientes de teste.

   2. Separação em redes: A GP separa suas redes de acordo com as tarefas. As seguintes redes são usadas permanentemente: ambiente operacional ("Produção"), ambiente de teste ("Staging", "Sandbox"), ambiente de desenvolvimento ("Dev") e equipe de TI do escritório. Além dessas redes, outras redes separadas são criadas conforme necessário, por exemplo, para testes de restauração e testes de penetração. Dependendo das possibilidades técnicas, as redes são separadas fisicamente ou por meio de redes virtuais.

8. Disponibilidade Controle: A GP adota as seguintes medidas para garantir que os dados pessoais sejam protegidos contra destruição ou perda acidental.

   1. Procedimentos de proteção de dados/backup: Para garantir a disponibilidade adequada, a GP implementa snapshots diários de seu banco de dados com replicação para uma região diferente. Também são tomadas medidas para garantir que os funcionários que, por razões profissionais, precisam revisar os dados, tenham acesso apenas a conjuntos de dados replicados.

   2. Georredundância em relação à infraestrutura de servidores de dados produtivos e backups.

   3. Gestão de incidentes de TI ("Gestão de Resposta a Incidentes"): Existe um conceito e procedimentos documentados para lidar com incidentes e eventos relevantes para a segurança. Isso inclui o planejamento e a preparação da resposta a incidentes, os procedimentos para monitoramento, detecção e análise de eventos relevantes para a segurança e a definição das responsabilidades e canais de comunicação correspondentes em caso de violação da proteção de dados pessoais, dentro do âmbito dos requisitos legais.

2) MEDIDAS ORGANIZACIONAIS PARA GARANTIR A PRIVACIDADE E A PROTEÇÃO DE DADOS

A GP implementou as seguintes medidas organizacionais para garantir que a organização opere de forma a cumprir os requisitos de privacidade e proteção de dados.

1. Instruções Organizacionais: A GP desenvolveu e está a desenvolver um programa de governança de dados, incluindo políticas, procedimentos e diretrizes a serem seguidas pelos funcionários. A documentação inclui orientações sobre como identificar e gerenciar problemas de privacidade de dados, as melhores práticas para garantir a conformidade com a privacidade e as políticas para lidar com incidentes de privacidade.
2. Compromisso com a confidencialidade e a proteção de dados: A GP desenvolveu e continua a desenvolver um programa de governança de dados, incluindo políticas, procedimentos e diretrizes a serem seguidas pelos funcionários. Todos os funcionários e contratados estão legalmente obrigados a cumprir as normas de confidencialidade e proteção de dados, bem como outras leis aplicáveis. Todos os funcionários recebem treinamento em privacidade e segurança. Auditorias internas sobre proteção de dados e segurança da informação são realizadas regularmente. As auditorias são realizadas com base em critérios/esquemas de teste comuns. Os funcionários e contratados da GP são instruídos a processar dados pessoais apenas por motivos lícitos, de acordo com os contratos aplicáveis com o cliente e o profissional, levando em consideração qualquer consentimento expresso dado ou negado pelo titular dos dados e em conformidade com qualquer obrigação legal da organização.
3. Treinamento em proteção de dados: Todos os funcionários recebem treinamento em privacidade e segurança, que permanece disponível para consulta a qualquer momento na plataforma de treinamento da GP.
4. Controles de Acesso Físico: A GP implementou os seguintes controles físicos para impedir o acesso de pessoas não autorizadas aos equipamentos de TI utilizados para processamento.
   1. Proteção eletrônica de portas: As portas de entrada dos consultórios médicos estão sempre trancadas e protegidas eletronicamente. As portas são abertas por meio de um transponder eletrônico pessoal.
   2. Distribuição controlada de chaves: É realizada uma alocação centralizada e documentada de chaves aos funcionários da GP. Esses transponders/chaves eletrônicos podem ser desativados centralmente por cada gerente de escritório ou pelo departamento de Recursos Humanos.
   3. Supervisão e acompanhamento de pessoas externas: Prestadores de serviços externos e outros terceiros só poderão ter acesso às instalações mediante autorização prévia ou quando acompanhados por um funcionário da GP. A GP aplica sua Política de Visitantes por escrito quando visitantes são convidados às instalações.
   4. Segurança de instalações com maior necessidade de proteção: Instalações ou armários com maiores requisitos de proteção, como escritórios de advocacia e determinados locais de operações, são equipados com armários e gavetas com fechadura. Armários e gavetas onde são guardados documentos legais, contratos e documentação confidencial devem permanecer trancados o tempo todo, exceto quando estiverem em uso.
   5. Portas e janelas fechadas: Os funcionários recebem instruções da empresa para manter portas e janelas fechadas ou trancadas fora do horário de expediente.
5. Recuperabilidade: O GP garante que os sistemas em uso possam ser restaurados em caso de falha física ou técnica.

   1. Testes regulares de recuperação de dados ("Testes de Restauração"): Testes regulares de restauração completa são realizados para garantir a capacidade de recuperação em caso de emergência/desastre.

   2. Plano de emergência ("Conceito de Recuperação de Desastres"): Existe um conceito para o tratamento de emergências/desastres e um plano de emergência correspondente. A GP garante a recuperação de todos os sistemas com base nos backups/cópias de segurança dos dados, geralmente dentro de 48 horas.

   3. Medidas de revisão e avaliação: Apresentação dos procedimentos para revisão, avaliação e análise periódicas da eficácia das medidas técnicas e organizacionais.

6. Equipe de Privacidade: A organização possui um Escritório Global de Privacidade de Dados encarregado de planejar, implementar, avaliar e adaptar medidas na área de proteção de dados.

7. Gestão de Riscos: Existe um processo para analisar, avaliar e alocar riscos, bem como para definir medidas com base nesses riscos.

3) REVISÃO INDEPENDENTE DA SEGURANÇA DA INFORMAÇÃO

1. Realização de auditorias: Auditorias internas sobre proteção de dados e segurança da informação são realizadas regularmente. As auditorias são realizadas com base em critérios/esquemas de teste comuns.
2. Análise da conformidade com as políticas e normas de segurança: A conformidade com as diretrizes, normas e demais requisitos de segurança aplicáveis ao tratamento de dados pessoais é verificada regularmente. Sempre que possível, essas verificações são realizadas de forma aleatória e inesperada.
3. Verificação de conformidade com as especificações técnicas: Varreduras de vulnerabilidade automatizadas e manuais regulares são realizadas pelo departamento de TI ou por outro pessoal qualificado para verificar a segurança dos aplicativos e da infraestrutura, bem como o desenvolvimento contínuo do produto. Testes de penetração detalhados são realizados por um provedor de serviços externo para examinar especificamente as aplicações e a infraestrutura em busca de vulnerabilidades.
4. Processamento sob instrução: Os funcionários da GP são instruídos a processar dados pessoais apenas por motivos lícitos, de acordo com os contratos aplicáveis com o cliente e o profissional, levando em consideração qualquer consentimento expresso dado ou negado pelo titular dos dados e em conformidade com qualquer obrigação legal da organização.
5. Seleção criteriosa de fornecedores: A GP segue seu Processo de Pré-qualificação de Fornecedores ao selecionar vendedores e prestadores de serviços que possam ter contato com dados protegidos. Este processo inclui o feedback dos Departamentos de Finanças e Jurídico/Privacidade e incorpora etapas de avaliação de risco, pré-qualificação de segurança e certificação de documentação. Os fornecedores que processarem dados protegidos deverão demonstrar a sua conformidade com as leis de privacidade de dados aplicáveis, incluindo o Artigo 28 do RGPD para os dados abrangidos.

 

Anexo III 

Lista de subprocessadores

 

Subprocessador	Informações de localização e contato	Descrição do Processamento
Subsidiárias de GP	https://www.globalization- partners.com/contact-us/	Fornecer a plataforma e gerenciar o relacionamento com o cliente.
Acumatica	3933 Lake Washington Blvd NE #350, Kirkland, WA 98033, EUA	Serviços financeiros
Amazon Web Service	PO Caixa 81226 Seattle, WA 98108-1226, EUA	Hospedagem – Provedor de Serviços em Nuvem
Microsoft	Microsoft Corporation Um Caminho Microsoft Redmond, Washington 98052 EUA Telefone: (+1) 425-882-8080.	Suporte a processos de negócios para comunicações (e-mail) e gerenciamento de serviços.
Atlassian	350 Andar da Rua Bush 13 São Francisco, CA 94104, EUA +1 415 701 1110	Suporte a processos de negócios para gestão de serviços
DocuSign	DocuSign International (EMEA) Ltd, A/C: Equipe de Privacidade, 5 Hanover Quay, Térreo, Dublin 2, República da Irlanda	Gestão de Documentos
Salesforce.com	415 Tower, Mission Street, 3andar, São Francisco, 94105, EUA 1-800-387-3285	Suporte a processos de negócios para gestão de relacionamento com o cliente (CRM)
Zendesk	989 Rua do Mercado São Francisco, CA 94103, EUA zendesk.com 888-670-4887	Consultas ao helpdesk para suporte ao cliente
Workday	6110 Stoneridge Mall Road Pleasanton, CA 94588, EUA	Suporte a processos de negócios para gerenciamento de folha de pagamento, benefícios, RH e dados de funcionários.
Serviço Agora	2225 Lawson Lane Santa Clara, CA, 95054 EUA	Suporte a processos de negócios para gerenciamento de serviços e operações de TI, experiências de funcionários e clientes por meio de fluxo de trabalho automatizado baseado em nuvem.
Databricks	160 Spear Street, 15º andar São Francisco, CA 94105 1-866-330-0121 EUA	Infraestrutura de armazenamento de dados em nuvem.
Datadog	620 8ª Avenida 45º Andar Nova Iorque, NY 10018 EUA	Ferramenta de monitoramento e depuração de serviços
Wise	Avenida Louise 54, Sala s52, 1050 Bruxelas Bélgica	Processador de pagamento online
Google	1600 Amphitheatre Pkwy, Mountain View, CA 94043	Suporte a processos de negócios para comunicações (e-mail) e armazenamento interno de documentos.