Contrato de Processamento de Dados (DPA) -- Morlivo

1. Definições

Para os fins deste Contrato de Processamento de Dados:

"Dados Pessoais" significa qualquer informação relativa a uma pessoa natural identificada ou identificável, conforme definido no Artigo 4(1) do GDPR.
"Tratamento" significa qualquer operação realizada sobre Dados Pessoais, incluindo coleta, armazenamento, uso, divulgação ou exclusão, conforme definido no Artigo 4(2) do GDPR.
"Controlador" significa o cliente que determina as finalidades e os meios do Tratamento de Dados Pessoais.
"Processador" significa Morlivo, que trata Dados Pessoais em nome do Controlador.
"Subprocessador" significa qualquer terceiro contratado pelo Processador para tratar Dados Pessoais em nome do Controlador.
"Titular dos Dados" significa uma pessoa natural identificada ou identificável cujos Dados Pessoais são tratados.

2. Detalhes de processamento

O Processador deverá processar Dados Pessoais apenas mediante instruções documentadas do Controlador, inclusive no que diz respeito a transferências de Dados Pessoais para um terceiro país, salvo quando for obrigado a fazê-lo por lei da União ou de um Estado‑Membro à qual o Processador esteja sujeito.

Os detalhes do processamento são os seguintes:

Objeto: Prestação de serviços de tradução, transcrição e processamento linguístico.
Duração: Durante o prazo do contrato de serviço subjacente.
Natureza e finalidade: Tratamento do Conteúdo do Cliente para fornecer traduções, transcrições e serviços linguísticos relacionados.
Categorias de titulares de dados: Usuários finais e indivíduos cujos dados estejam contidos no Conteúdo do Cliente.
Tipos de Dados Pessoais: Nomes, informações de contato e quaisquer outros Dados Pessoais contidos em materiais enviados para processamento.

3. Medidas de segurança

O Processador deverá implementar medidas técnicas e organizacionais apropriadas para assegurar um nível de segurança adequado ao risco, de acordo com o Artigo 32 do GDPR. Essas medidas incluem:

Criptografia de Dados Pessoais em repouso (AES-256) e em trânsito (TLS 1.2+).
Capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas e serviços de processamento.
Capacidade de restaurar a disponibilidade e o acesso aos Dados Pessoais em tempo hábil no caso de um incidente físico ou técnico.
Testar, avaliar e avaliar regularmente a eficácia das medidas técnicas e organizacionais.
Pseudonimização de Dados Pessoais sempre que for tecnicamente viável e apropriado.
Controles de acesso rigorosos baseados no princípio do menor privilégio.
Registro de auditoria abrangente e monitoramento de acesso a dados.

O Processador deverá assegurar que as pessoas autorizadas a processar Dados Pessoais tenham assumido compromisso de confidencialidade ou estejam sujeitas a uma obrigação legal de confidencialidade adequada.

4. Subprocessadores

O Controlador concede autorização geral ao Processador para contratar Subprocessadores. O Processador manterá uma lista atualizada de Subprocessadores e a disponibilizará ao Controlador mediante solicitação. A lista atual de Subprocessadores está publicada em nossa página de Política de Privacidade.

O Processador deverá informar o Controlador sobre quaisquer alterações pretendidas relativas à adição ou substituição de Subprocessadores, concedendo ao Controlador uma oportunidade razoável de se opor a tais alterações. Quando o Processador contratar um Subprocessador, deverá impor a esse Subprocessador, por meio contratual, as mesmas obrigações de proteção de dados estabelecidas neste DPA.

O Processador permanecerá integralmente responsável perante o Controlador pelo cumprimento das obrigações de qualquer Subprocessador nos termos deste DPA.

5. Direitos do Titular dos Dados

O Processador auxiliará o Controlador no cumprimento de sua obrigação de responder a pedidos de Titulares de Dados que exerçam seus direitos nos termos do Capítulo III do GDPR, incluindo:

Direito de acesso (artigo 15.º).
Direito à retificação (artigo 16.º).
Direito ao apagamento (artigo 17.º).
Direito à restrição do tratamento (artigo 18.º).
Direito à portabilidade dos dados (artigo 20.º).
Direito de oposição (artigo 21.º).

Se o Processador receber uma solicitação de um Titular dos Dados diretamente, o Processador deverá encaminhar prontamente a solicitação ao Controlador e não deverá responder ao Titular dos Dados diretamente, a menos que autorizado pelo Controlador.

6. Transferências Internacionais

O Processador não deverá transferir Dados Pessoais para um terceiro país ou organização internacional, a menos que estejam em vigor salvaguardas apropriadas conforme exigido pelo Capítulo V do GDPR. Mecanismos de transferência aprovados incluem:

Cláusulas Contratuais Padrão (CEC) adotadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914 da Comissão).
Decisões de adequação nos termos do artigo 45.º do GDPR.
Regras Corporativas Vinculativas aprovadas por uma autoridade supervisora competente.

Clientes empresariais podem configurar as configurações de residência de dados para restringir o processamento e o armazenamento de Dados Pessoais a regiões geográficas específicas (EU, US ou APAC), minimizando a necessidade de transferências transfronteiriças.

7. Notificação de violação

O Processador deverá notificar o Controlador sem atraso indevido e, em qualquer caso, não mais tardar do que quarenta e oito (48) horas após tomar conhecimento de uma violação de Dados Pessoais, conforme definido no Artigo 4(12) do GDPR.

A notificação incluirá:

Uma descrição da natureza da violação de Dados Pessoais, incluindo as categorias e o número aproximado de Titulares dos Dados e registos em causa.
O nome e detalhes de contato do ponto de contato de proteção de dados do Processador.
Uma descrição das prováveis consequências da violação.
Uma descrição das medidas tomadas ou propostas para resolver a violação, incluindo medidas para mitigar os seus efeitos adversos.

8. Auditorias e Inspeções

O Processador deverá disponibilizar ao Controlador todas as informações necessárias para demonstrar conformidade com as obrigações estabelecidas no Artigo 28 do GDPR. O Processador deverá permitir e contribuir para auditorias, incluindo inspeções, realizadas pelo Controlador ou por um auditor mandatado pelo Controlador, sujeitas a aviso prévio razoável e obrigações de confidencialidade.

9. Prazo e exclusão de dados

Este DPA permanecerá em vigor durante a vigência do contrato de serviço subjacente. Após a rescisão do contrato de serviço, o Processor deverá, à escolha do Controller, excluir ou devolver todos os Personal Data e eliminar cópias existentes, salvo quando a lei da União ou do Estado Membro exigir a conservação dos Personal Data. O Processor deverá certificar por escrito que cumpriu essa obrigação mediante solicitação do Controller.

Contrato de Processamento de Dados (DPA)