CONTRATO DE PROCESSAMENTO DE DADOS

DPA

DPA padrão · Versão 1.0 ·  EvaluationsHub por Vockam SAS

 

Clique aqui para assinar o seu cópia

 

PARTES DESTE ACORDO
Responsável pelo Tratamento	[Nome da Entidade Cliente], constituída em [Jurisdição], com sede social em [Endereço] (“o Controlador”)
Subcontratante	Vockam SAS, uma Société par Actions Simplifiée (SAS) francesa, número de registro. 899272736 RCS Meaux, 1 Boulevard du huit mai 1945, 77260 La Ferté-sous-Jouarre, França, operando EvaluationsHub (“o Processador”)
Data efetiva	[ENCONTRO]
Lei de governança	Legislação francesa e RGPD da UE
Jurisdição	Tribunais de Paris, França

 

Este Contrato de Processamento de Dados (“DPA”) é o contrato padrão de processamento de dados emitido pela Vockam SAS (empresa operacional). EvaluationsHub) aos seus clientes. Faz parte do Contrato Principal de Prestação de Serviços ou Termos de Serviço (“Contrato Principal”) entre as partes acima mencionadas e estabelece os termos em que o Processador processará os Dados Pessoais em nome do Controlador em conexão com o EvaluationsHub serviço. Ao assinar abaixo, o Controlador aceita os termos deste DPA.

1. Definições

Neste DPA, os seguintes termos têm os significados indicados abaixo:

 

Leis de proteção de dados	Toda a legislação aplicável relativa à proteção de dados e privacidade, incluindo o Regulamento Geral de Proteção de Dados da UE 2016/679 (“RGPD”), a Lei Francesa de Proteção de Dados (Loi Informatique et Libertés) e qualquer legislação nacional de implementação aplicável, conforme alterada ou substituída periodicamente.
Dados Pessoais	Tem o significado atribuído no Artigo 4(1) do RGPD: qualquer informação relativa a uma pessoa singular identificada ou identificável.
Tratamento	Tem o significado atribuído no Artigo 4(2) do RGPD: qualquer operação realizada sobre Dados Pessoais.
dados Assunto	A pessoa singular identificada ou identificável a quem os Dados Pessoais se referem.
Violações de Dados Pessoais	Tem o significado atribuído no artigo 4.º, n.º 12, do RGPD: uma violação de segurança que conduza à destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilícito a dados pessoais.
Subprocessador	Qualquer terceiro contratado pelo Processador para processar Dados Pessoais em nome do Controlador.
Cláusulas Contratuais Padrão (SCCs)	A decisão de execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021, relativa às cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros, conforme atualizada periodicamente.
	O Espaço Econômico Europeu.
TOMs	Medidas técnicas e organizacionais conforme descrito no Anexo 2.

2. Escopo e Duração

2.1  Assunto. O Processador fornece uma plataforma de Gestão de Relacionamento com Fornecedores (SRM) e avaliação da experiência do cliente (“EvaluationsHubO Processador tratará os Dados Pessoais exclusivamente na medida necessária para prestar esses serviços nos termos do Contrato Principal.

2.2  Duração. Este DPA permanece em vigor enquanto o Processador processar Dados Pessoais ao abrigo do Contrato Principal. Ele se extingue automaticamente com a rescisão ou expiração do Contrato Principal, sem prejuízo da manutenção das obrigações previstas na Cláusula 8 (Exclusão ou Devolução de Dados).

3. Processamento somente mediante instruções

3.1  Instruções Documentadas. O Processador deverá processar os Dados Pessoais apenas mediante instruções documentadas do Controlador, conforme estabelecido neste DPA ou no Contrato Principal, a menos que seja obrigado a fazê-lo por lei da União ou de um Estado-Membro. Nesse caso, o Processador deverá informar o Controlador sobre essa exigência legal antes do processamento, a menos que seja proibido por lei por motivos de interesse público.

3.2  Notificação de Conflitos. Caso o Processador considere que alguma instrução do Controlador infringe as Leis de Proteção de Dados, deverá notificar imediatamente o Controlador e poderá suspender o processamento em questão até que o problema seja resolvido.

3.3  Confidencialidade do pessoal. O responsável pelo tratamento deve assegurar que todas as pessoas autorizadas a tratar os Dados Pessoais tenham assumido obrigações contratuais ou legais de confidencialidade.

4. Total

4.1  Medidas Adequadas. O Processador deverá implementar e manter as medidas técnicas e organizacionais estabelecidas no Anexo 2 (MTO). Essas medidas deverão assegurar um nível de segurança adequado ao risco, levando em consideração a natureza, o âmbito, o contexto e as finalidades do processamento, bem como o risco para os direitos e liberdades dos Titulares dos Dados.

4.2  Atualizações dos TOMs. O Processador poderá atualizar ou modificar os TOMs periodicamente, desde que tal atualização não reduza substancialmente o nível geral de segurança oferecido. O Processador deverá notificar o Controlador sobre qualquer redução substancial nas medidas de segurança com pelo menos 30 dias de antecedência.

4.3  Treinamento da equipe. O Processador deverá garantir que todos os funcionários com acesso a Dados Pessoais recebam treinamento adequado e regular sobre as obrigações de proteção de dados e práticas de segurança.

5. Subprocessamento

5.1  Autorização Geral. O Controlador concede ao Processador autorização geral por escrito para contratar os Subprocessadores listados no Anexo 3, sujeitos às condições desta Cláusula 5.

5.2  Obrigações dos Subcontratados. Antes de contratar qualquer Subcontratado, o Processador deverá impor a esse Subcontratado obrigações de proteção de dados equivalentes às previstas neste DPA, em particular, fornecendo garantias suficientes para a implementação de medidas operacionais padrão adequadas. O Processador permanece integralmente responsável perante o Controlador pelos atos e omissões de seus Subcontratados.

5.3  Alterações nos Subprocessadores. O Processador deverá notificar o Controlador por escrito com pelo menos 30 dias de antecedência sobre quaisquer alterações pretendidas na lista de Subprocessadores (inclusões ou substituições). O Controlador poderá opor-se a tais alterações, mediante justificativa razoável, no prazo de 15 dias a contar da data de recebimento da notificação. Caso o Controlador se oponha e o Processador não possa atender à objeção, o Controlador poderá rescindir os serviços em questão, sem penalidades, mediante notificação por escrito.

5.4  Subprocessadores fora do EEE. Quando um subprocessador estiver localizado fora do EEE, em um país não reconhecido pela Comissão Europeia como oferecendo um nível adequado de proteção de dados, o processador deverá garantir que um mecanismo de transferência apropriado esteja em vigor (por exemplo, Cláusulas Contratuais Padrão) antes que quaisquer Dados Pessoais sejam transferidos para esse subprocessador. Os mecanismos de transferência confirmados para os atuais subprocessadores fora do EEE estão detalhados no Anexo 3.

6. Transferências Internacionais de Dados

6.1  Armazenamento primário. Os dados pessoais são armazenados e processados ​​principalmente dentro do Espaço Econômico Europeu (EEE), utilizando a infraestrutura da AWS na UE (regiões da Irlanda e Frankfurt).

6.2  Transferências para fora do EEE. Quando os Dados Pessoais forem transferidos para um país fora do EEE que não esteja sujeito a uma decisão de adequação, o Processador deverá assegurar que uma das seguintes salvaguardas esteja em vigor antes da transferência: (a) as Cláusulas Contratuais Padrão da UE (2021/914) tenham sido celebradas com o Subprocessador relevante; ou (b) outro mecanismo de transferência lícito reconhecido ao abrigo do Artigo 46.º do RGPD seja aplicável. Os detalhes das salvaguardas aplicáveis ​​a cada Subprocessador encontram-se definidos no Anexo 3.

6.3  Notificação. O Processador deverá notificar imediatamente o Controlador caso qualquer salvaguarda referida na Cláusula 6.2 deixe de ser válida ou seja materialmente alterada.

7. Assistência relacionada aos direitos do titular dos dados

7.1  Solicitações dos titulares dos dados. Levando em consideração a natureza do processamento, o Processador deverá auxiliar o Controlador, implementando medidas técnicas e organizacionais adequadas, no cumprimento de sua obrigação de responder às solicitações dos titulares dos dados que exercem seus direitos nos termos do Capítulo III do RGPD (incluindo os direitos de acesso, retificação, apagamento, restrição, portabilidade e oposição).

7.2  Encaminhamento de solicitações. Caso o Processador receba uma solicitação diretamente de um Titular dos Dados, deverá encaminhá-la ao Controlador no prazo de 5 dias úteis e não responderá à solicitação sem a prévia autorização por escrito do Controlador, a menos que seja obrigado por lei.

7.3  Assistência Adicional. O Processador também deverá auxiliar o Controlador a garantir o cumprimento de suas obrigações relativas a: (a) segurança do processamento (Artigo 32 do RGPD); (b) notificação de violações de dados pessoais às autoridades de supervisão e aos titulares dos dados (Artigos 33–34 do RGPD); e (c) avaliações de impacto sobre a proteção de dados e consulta prévia (Artigos 35–36 do RGPD).

8. Notificação de Violação de Dados Pessoais

8.1  Notificação ao Controlador. O Processador deverá notificar o Controlador sem demora injustificada e, em qualquer caso, dentro de 72 horas, após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais processados ​​ao abrigo deste DPA.

8.2  Conteúdo da Notificação. Tal notificação deverá incluir, na medida do possível: (a) uma descrição da natureza da violação, incluindo as categorias e o número aproximado de Titulares dos Dados e registos de Dados Pessoais afetados; (b) o nome e os dados de contacto do responsável pela proteção de dados do Processador (team@evaluationshub.com); (c) uma descrição das prováveis ​​consequências da violação; e (d) uma descrição das medidas tomadas ou propostas para lidar com a violação, incluindo medidas de mitigação.

8.3  Informações adicionais. Caso nem todas as informações estejam disponíveis no momento da notificação inicial, o Processador deverá fornecer informações adicionais em fases, à medida que estas se tornarem disponíveis, sem demora indevida.

8.4  Registro de ocorrências. O Processador deverá documentar todas as violações de dados pessoais, incluindo os fatos, os efeitos e as medidas corretivas tomadas, e disponibilizar esses registros ao Controlador mediante solicitação.

9. RETENÇÃO DE DADOS

9.1  Períodos de retenção. O Processador não reterá os Dados Pessoais por mais tempo do que o necessário para os fins estabelecidos no Anexo 1. Salvo acordo em contrário por escrito, aplicam-se os seguintes períodos máximos de retenção:

 

Categoria de dados	Período de retenção
Dados de conta de usuário ativos	Duração do Contrato Principal
Avaliações e análises de desempenho	3 anos a partir da criação, a menos que a exclusão seja solicitada antes.
Credenciais de login (logs de acesso)	12 meses a partir da criação
Cópias de segurança	90 dias após a rescisão do Contrato Principal
Os logs de auditoria	3 anos a partir da criação (obrigação legal)

10. Exclusão ou devolução de dados

10.1  Após a rescisão. Após a rescisão ou expiração do Contrato Principal, o Processador deverá, a critério do Controlador e no prazo de 30 dias após o recebimento de uma solicitação por escrito: (a) devolver com segurança todos os Dados Pessoais ao Controlador em um formato legível por máquina de uso comum; ou (b) excluir e destruir com segurança todos os Dados Pessoais (e todas as suas cópias), a menos que a legislação da União ou de um Estado-Membro exija o armazenamento contínuo.

10.2  Confirmação. O Processador deverá fornecer ao Controlador uma confirmação por escrito da exclusão ou devolução no prazo de 30 dias após a conclusão da ação.

10.3  Cópias residuais. O Processador deverá envidar esforços comercialmente razoáveis ​​para garantir que os Subprocessadores também apaguem ou devolvam os Dados Pessoais de acordo com esta Cláusula 10.

11. Direitos de Auditoria

11.1  Informações. O Processador deverá disponibilizar ao Controlador todas as informações razoavelmente necessárias para demonstrar a conformidade com as obrigações deste DPA e do Artigo 28 do RGPD.

11.2  Auditorias. O Processador deverá permitir e contribuir para auditorias, incluindo inspeções, conduzidas pelo Controlador ou por um auditor por ele designado, desde que: (a) o Controlador notifique por escrito com pelo menos 30 dias de antecedência; (b) as auditorias sejam realizadas no máximo uma vez por ano civil (exceto após suspeita de violação de dados pessoais); (c) a auditoria seja realizada durante o horário comercial normal e de forma a minimizar interrupções; e (d) os custos da auditoria sejam suportados pelo Controlador, a menos que a auditoria revele não conformidade material, caso em que os custos serão suportados pelo Processador.

11.3  Certificações. A pedido do Controlador, o Processador deverá fornecer cópias das certificações relevantes de terceiros (por exemplo, ISO 27001, assim que obtida) ou resumos de avaliações de segurança, em substituição ou em complemento a uma auditoria presencial, quando aplicável. O Processador está atualmente em processo de obtenção da certificação ISO 27001.

12. Avaliações de impacto de proteção de dados

12.1  O Processador deverá auxiliar razoavelmente o Controlador na realização de qualquer Avaliação de Impacto sobre a Proteção de Dados (AIPD) exigida pelo Artigo 35 do RGPD, através de: (a) fornecimento de informações relevantes sobre as operações de processamento, riscos e medidas operacionais padrão em vigor; (b) participação em reuniões de consulta com aviso prévio razoável; e (c) resposta imediata a consultas por escrito relacionadas com as atividades de processamento descritas no Anexo 1.

13. Responsabilidade

13.1  Limite de Responsabilidade. Na máxima extensão permitida pela legislação aplicável, a responsabilidade total agregada do Processador perante o Controlador, nos termos ou em conexão com este DPA (seja por responsabilidade contratual, extracontratual, negligência ou outra), não deverá exceder o total das taxas pagas ou a pagar pelo Controlador ao Processador durante o período de 12 meses imediatamente anterior ao evento que deu origem à reclamação (o “Limite de Responsabilidade”). Caso o Contrato Principal abranja um período inferior a 12 meses no momento da reclamação, o Limite de Responsabilidade será o total das taxas pagas ou a pagar nos termos do Contrato Principal até a presente data.

13.2  Exclusões do Limite de Responsabilidade. O Limite de Responsabilidade não se aplica a: (a) responsabilidade de qualquer das Partes por morte ou lesão corporal causada por sua negligência; (b) responsabilidade de qualquer das Partes por fraude ou declaração fraudulenta; ou (c) qualquer responsabilidade que não possa ser excluída ou limitada pela lei aplicável.

13.3  Responsabilidade Mútua. Quando ambas as Partes forem responsáveis ​​por danos causados ​​por uma violação do RGPD, cada Parte será responsável pela sua parte dos danos, de acordo com o Artigo 82 do RGPD. O Limite de Responsabilidade na Cláusula 13.1 aplica-se à parte da responsabilidade do Processador.

13.4  Mitigação. Cada Parte deverá tomar medidas razoáveis ​​para mitigar quaisquer perdas ou danos que venha a sofrer em consequência do descumprimento deste DPA pela outra Parte.

14. Lei Aplicável e Jurisdição

14.1  Este DPA é regido e interpretado de acordo com a legislação francesa e a legislação da UE aplicável, incluindo o RGPD.

14.2  Qualquer litígio decorrente deste DPA ou relacionado com ele estará sujeito à jurisdição exclusiva dos tribunais de Paris, França, salvo disposição legal em contrário.

15. Assinaturas

Ao assinar abaixo, as Partes concordam com os termos deste Acordo de Processamento de Dados.

 

Em nome do Controlador (Cliente)	Em nome e por conta da Vockam SAS (Processadora)
Nome completo: _______________________________	Nome completo:  Bert Paesbrugghe
Título: ____________________________________	Título: Fundador e CEO da Vockam SAS
Empresa: _________________________________	Empresa: Vockam SAS
Assinatura:	Assinatura:

ANEXO 1 — Descrição das atividades de processamento

Categorias de Titulares de Dados	• Funcionários do cliente e usuários autorizados da plataforma • Representantes dos fornecedores e vendedores do cliente
Tipos de Dados Pessoais	• Nomes e cargos • Endereços de e-mail profissionais • Dados de contato comercial (telefone, endereço) • Nomes de fornecedores e clientes • Dados de avaliação de desempenho • Credenciais de login da plataforma (armazenadas apenas como valores hash unidirecionais; credenciais em texto simples nunca são retidas) • Comportamento do usuário e registros de uso
Natureza do Processamento	Coleta, armazenamento, recuperação, uso, divulgação (a usuários autorizados) e exclusão de Dados Pessoais.
Objetivo do Processamento	Para facilitar as avaliações de fornecedores e clientes, as avaliações de risco e a gestão da plataforma SRM no âmbito do EvaluationsHub serviço.
Fundamento jurídico (Fundamento do controlador)	O Controlador é responsável por identificar e documentar a sua própria base jurídica para o tratamento de dados ao abrigo do artigo 6.º do RGPD (por exemplo, o artigo 6.º, n.º 1, alínea b) — execução de um contrato; ou o artigo 6.º, n.º 1, alínea f) — interesses legítimos). EvaluationsHub O processamento de Dados Pessoais é realizado exclusivamente sob as instruções do Controlador e não determina a base legal.

ANEXO 2 — Medidas Técnicas e Organizacionais (MTOs)

Medir	Implementação
Criptografia em repouso	Criptografia AES-256 para todos os Dados Pessoais armazenados nos bancos de dados AWS S3 e RDS.
Criptografia em Trânsito	É necessário o uso de TLS 1.2 ou superior para todas as transmissões de dados. As versões TLS 1.0 e 1.1 estão desativadas.
Controle de Acesso	Controle de acesso baseado em funções (RBAC) rigoroso. O acesso a dados pessoais é concedido somente quando necessário.
Autenticação	A autenticação de dois fatores (2FA) é obrigatória para todas as contas de funcionários e administrativas com acesso a Dados Pessoais.
Gestão de credenciais	As senhas dos usuários são armazenadas exclusivamente como hashes unidirecionais com salt (bcrypt ou equivalente). Senhas em texto simples nunca são armazenadas ou registradas.
Residência de Dados	Todos os Dados Pessoais são armazenados nas regiões da AWS na UE (Irlanda/Frankfurt). Nenhum Dado Pessoal é replicado fora do EEE, a menos que exista um mecanismo de transferência válido (ver Anexo 3).
Cópias de segurança e resiliência	Cópias de segurança diárias automatizadas armazenadas em Zonas de Disponibilidade da AWS na UE. RPO: 24 horas. RTO: 8 horas.
Registros de Auditoria	Registros imutáveis ​​são mantidos para todos os eventos de acesso, modificação e exclusão de dados. Os registros são retidos por 3 anos.
Gestão de Vulnerabilidades	Testes de segurança regulares são realizados em conformidade com o programa de segurança do Processador. O Processador está empenhado em obter a certificação ISO 27001. Vulnerabilidades críticas são corrigidas com base na priorização de riscos.
Resposta a Incidentes	Um plano documentado de resposta a incidentes é mantido e testado anualmente. O Processador compromete-se a notificar o Controlador no prazo de 72 horas após a confirmação de uma Violação de Dados Pessoais (ver Cláusula 8).
Gestão de Fornecedores	Os subcontratados estão sujeitos à devida diligência em matéria de proteção de dados e a obrigações contratuais de proteção de dados antes da sua contratação.

ANEXO 3 — Subprocessadores Aprovados

Os seguintes subcontratados estão autorizados a partir da Data de Entrada em Vigor. O Processador notificará com 30 dias de antecedência quaisquer alterações, em conformidade com a Cláusula 5.3.

 

Subprocessador	Propósito	País	Mecanismo de Transferência	Categorias de dados
Amazon Web Services (AWS)	Infraestrutura e hospedagem em nuvem	EEE (Irlanda / Frankfurt)	Adequação — Baseado no EEE; AWS DPA em vigor	Todos os dados pessoais
Stripe	Processamento de pagamentos (quando aplicável)	USA	Os SCCs (Módulo 2: Controlador para Processador) foram executados.	Somente o nome do contato de faturamento, e-mail e metadados de pagamento.
Zoho Corporation	CRM, campanhas de e-mail, chat de suporte	EUA / Índia	Cláusulas Contratuais Padrão (Módulo 2) executadas; opção de residência de dados da Zoho na UE ativada. Observação: o escopo dos dados processados ​​por quaisquer recursos de IA dentro da Zoho é regido pela própria Lei de Proteção de Dados (DPA) e documentação de privacidade da Zoho, disponível em zoho.com/privacy.html.	Nomes, e-mails, detalhes de contato comercial
Tecnologias Pitangent	Desenvolvimento e manutenção de software	India	Contratos SCC (Módulo 2: Controlador para Processador) executados; acesso limitado apenas a dados anonimizados/de teste; nenhum acesso a dados pessoais de produção sem o consentimento do Controlador.	Dados anonimizados/pseudonimizados apenas em circunstâncias normais.
Mixpanel	Análise de uso da plataforma	USA	Cláusulas Contratuais Padrão (Módulo 2) executadas; Residência de dados na UE ativada	Registros de comportamento e uso do usuário pseudonimizados.

 

* EvaluationsHub A Vocham SAS garante que as Cláusulas Contratuais Padrão (SCCs) e/ou mecanismos de transferência equivalentes estão em vigor com todos os subcontratados fora do Espaço Econômico Europeu (EEE) listados acima. Cópias das SCCs relevantes estão disponíveis para o Controlador mediante solicitação por escrito para team@evaluationshub. Com.