1. Objeto

1. El presente Acuerdo de Tratamiento de Datos Personales ("DPA" - Data Protection Agreement) es parte integral del Contrato de Prestación de Servicios (“Contrato”), ambos actualizados periódicamente, u otro acuerdo aplicable entre E-goi, Lda (en adelante “E-goi”) y el “Cliente” que adquiere los Servicios de E-goi, en conjunto denominados en lo sucesivo como “Partes”.

2. Todos los términos no definidos en este Acuerdo de Procesamiento de Datos tendrán los significados establecidos en el Glosario del Contrato. Para evitar dudas, todas las referencias al “Contrato” incluirán este Acuerdo de Procesamiento de Datos (cuando sea aplicable), tal como se define en este documento.

3. E-goi se adhiere a protocolos internacionales de privacidad de datos y hará todos los esfuerzos y recursos necesarios para que los datos personales e institucionales de las personas que interactúen con E-goi, ya sea directamente (como usuarios del sistema) o indirectamente (como destinatarios), sean utilizados de manera adecuada y responsable, y en completo respeto al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

2. Definiciones

1. Las siguientes definiciones tienen, en el ámbito del presente acuerdo, el alcance que les otorga los apartados contenidos en esta cláusula:

a. "Afiliada" significa una entidad que, directa o indirectamente, controla, es controlada por o está bajo control común de una entidad.

b. "Contrato" se refiere a los Términos de Uso de E-goi (en https://bo.egoiapp.com/legal/egoi-terms) u otro contrato escrito o digital que regule la provisión del Servicio al Cliente, según esos términos o contratos vengan a ser actualizados periódicamente.

c. "Control" significa propiedad, voto o interés similar que represente el 50% (cincuenta por ciento) o más de los intereses totales entonces en circulación de la entidad en cuestión. El término "Controlado" debe ser interpretado en conformidad.

d. “Datos personales”, información relacionada con una persona física identificada o identificable («titular de los datos»); se considera identificable una persona física que pueda ser identificada, directa o indirectamente.

e. "Datos del Cliente" se refiere a datos personales que E-goi procese en nombre del Cliente a través del Servicio, según lo descrito más específicamente en este Acuerdo de Procesamiento de Datos.

f. “Tratamiento”, una operación o un conjunto de operaciones realizadas sobre datos personales o sobre conjuntos de datos personales, por medios automatizados o no automatizados;

g. “Responsable del tratamiento”, “Data Controller” o “Controlador”, la persona física o jurídica, la autoridad pública, la agencia u otro organismo que, individualmente o conjuntamente con otros, determine las finalidades y los medios de tratamiento de datos personales;

h. “Subcontratista”, “Data Processor” u “Operador”, una persona física o jurídica, la autoridad pública, agencia u otro organismo que trate los datos personales por cuenta del responsable del tratamiento de estos;

i. “Consentimiento” del titular de los datos, una manifestación de voluntad, libre, específica, informada y explícita, por la cual el titular de los datos acepta, mediante declaración o acto positivo inequívoco, que los datos personales que le conciernen sean objeto de tratamiento;

j. “Violación de datos personales”, una violación de la seguridad que provoque, de manera accidental o ilícita, la destrucción, pérdida, alteración, divulgación o acceso no autorizado, a datos personales transmitidos, conservados o sujetos a cualquier otro tipo de tratamiento;

k. "Leyes de Protección de Datos" se refiere a todas las regulaciones y leyes de protección de datos aplicables al procesamiento de una parte de los Datos del Cliente en los términos del Contrato, incluyendo, cuando sea aplicable, las Leyes Europeas de Protección de Datos (incluyendo el RGPD) y las Leyes No Europeas de Protección de Datos (incluyendo la LGPD).

2. Las definiciones inexistentes en el Contrato y utilizadas en el presente Anexo tienen el significado otorgado por el Reglamento (UE) 2016/679.

3. Funciones y Responsabilidades de las Partes

1. Las Partes reconocen y acuerdan que, en el ámbito del tratamiento de Datos del Cliente, E-goi actúa como Subcontratista en nombre del Cliente (ya sea este el Responsable del Tratamiento u otro Subcontratista), salvo disposición contraria prevista en el Contrato o en cualquier Anexo aplicable.

4. Detalles del tratamiento

1. El tratamiento de los datos personales por E-goi (Subcontratista) en los términos del Contrato y del presente DPA incidirá únicamente y se realizará en estricta observancia del tenor de los siguientes apartados:

a. Objeto del tratamiento: prestación de servicios, objeto del Contrato.

b. Duración del tratamiento: los datos personales serán tratados por el período correspondiente a la duración de la prestación de los servicios que son objeto del Contrato, sumado al tiempo necesario para el ejercicio de todos los derechos y ejecución de las obligaciones que de él emanen.

c. Naturaleza del tratamiento: todas las operaciones de tratamiento inherentes al ejercicio de los derechos y a la ejecución de las obligaciones objeto del Contrato, y a la gestión de la respectiva relación contractual.

d. Categorías de Titulares de Datos: Contactos (es decir, suscriptores del Cliente y otras personas sobre las cuales el Cliente haya proporcionado información o que hayan interactuado con el Cliente a través del Servicio).

e. Categorías de Datos Personales: El Cliente podrá cargar, enviar o proporcionar ciertos datos personales al Servicio, cuya extensión sea normalmente determinada y controlada por el Cliente a su exclusivo criterio, pudiendo incluir, pero no limitándose a, los siguientes tipos de datos personales: Datos de identificación y contacto (por ejemplo, nombre, fecha de nacimiento, género, ocupación o otra información demográfica, dirección, título, información de contacto, incluyendo dirección de correo electrónico); intereses o preferencias personales (incluyendo historial de compras, preferencias de marketing e información de perfil de redes sociales disponibles públicamente); Información de TI (por ejemplo, direcciones IP, datos de uso, datos de cookies, datos de navegación en línea, datos de ubicación, datos del navegador); información financiera (por ejemplo, datos de tarjetas de crédito, datos de cuentas, información de pago).

2. E-goi no procederá en ningún caso a la venta, préstamo o cesión a terceros de datos personales, listas de contactos o cualesquiera otros datos del Cliente y de sus destinatarios, salvo cuando ello resulte necesario para dar cumplimiento a una solicitud o resolución judicial.

3. El contenido de las listas de contactos del Cliente y de los mensajes correspondientes únicamente podrá ser objeto de acceso y análisis por parte de E-goi en la medida estrictamente necesaria para la prestación del Servicio, en particular para:

a. realizar operaciones de mantenimiento, asistencia técnica o resolución de incidencias solicitadas o autorizadas por el Cliente;

b. garantizar la seguridad, integridad, disponibilidad y correcto funcionamiento del Servicio; o

c. investigar indicios concretos de un uso ilícito, abusivo o contrario al Contrato o a las políticas aplicables al Servicio.

El acceso y el análisis se limitarán a los datos y al período estrictamente necesarios para la finalidad que los justifique, serán realizados únicamente por personal debidamente autorizado y sujeto a obligaciones de confidencialidad, y quedarán registrados siempre que ello resulte técnicamente posible.

Cuando el análisis no derive de una solicitud o instrucción específica del Cliente, E-goi únicamente lo llevará a cabo cuando resulte objetivamente necesario para proteger el Servicio, a sus usuarios o a terceros, o para verificar el cumplimiento del Contrato, informando al Cliente sin dilación indebida, salvo cuando dicha comunicación pueda comprometer la investigación o la seguridad del Servicio, o esté prohibida por la ley.

E-goi no utilizará el contenido de las listas de contactos ni de los mensajes del Cliente para fines propios y autónomos ajenos a la prestación del Servicio o a las instrucciones documentadas del Cliente, en particular para fines comerciales o publicitarios propios, la elaboración de perfiles en beneficio de E-goi, el enriquecimiento de bases de datos propias o el entrenamiento de modelos de inteligencia artificial de uso general. Lo anterior no impedirá el tratamiento de Datos del Cliente mediante funcionalidades de inteligencia artificial, enriquecimiento de datos, análisis, segmentación u otras funcionalidades puestas a disposición en el marco del Servicio, siempre que dichas funcionalidades sean utilizadas por decisión del Cliente o de conformidad con sus instrucciones, y que el tratamiento se lleve a cabo exclusivamente por cuenta de este, para las finalidades por él determinadas y en los términos del Contrato.

4. E-goi no realizará modificación o edición alguna del contenido de los mensajes o de las listas de contactos del Cliente que sean conformes con la Política de Uso Aceptable, adjunta al presente Contrato, sin el consentimiento previo y expreso del Cliente. Quedan excluidas de esta disposición las actuaciones que consistan exclusivamente en la corrección automática de la base de datos, de direcciones incorrectas u otras operaciones similares, respecto de las cuales E-goi no precisará recabar dicho consentimiento.

5. Instrucciones de tratamiento

1. E-goi (Subcontratista) debe proceder al tratamiento de datos personales solo bajo instrucciones documentadas del Cliente, salvo que esté obligada a hacerlo por el derecho de la Unión o por el derecho del Estado miembro al que esté sujeta. En este caso, E-goi debe informar al Cliente de ese requisito legal antes del procesamiento, a menos que la ley lo prohíba por motivos importantes de interés público. El Cliente puede dar instrucciones adicionales a lo largo de toda la duración del tratamiento de datos personales. Estas instrucciones deben estar siempre documentadas.

2. Las Partes acuerdan que el Contrato, incluyendo este Acuerdo de Procesamiento de Datos, junto con la configuración del Cliente o el uso de cualquier configuración, variable, u opción en el Servicio (conforme el Cliente pueda modificar de vez en cuando) constituyen las instrucciones completas y finales del Cliente para E-goi en relación con el procesamiento de los Datos del Cliente.

3. E-goi almacena los datos de registro y la información estadística referente a los destinatarios que constan en la lista de contactos del usuario.

6. Cumplimiento del Cliente

1. El Cliente declara y garantiza que:

a. Está en cumplimiento y continuará estando en cumplimiento con todas las leyes aplicables, incluidas las Leyes de Protección de Datos, en relación con el procesamiento de los Datos del Cliente e instrucciones de procesamiento que emita para E-goi.

b. Es Responsable de la Legalidad del Tratamiento y Derechos de los Titulares de los Datos.

c. Ha obtenido y continuará obteniendo todos los consentimientos y derechos necesarios de acuerdo con las Leyes de Protección de Datos para procesar los Datos del Cliente para los objetivos descritos en el Contrato.

2. El Cliente será el único responsable de la exactitud, calidad y legalidad de los Datos del Cliente y los medios por los cuales los Datos del Cliente fueron adquiridos.

3. Sin prejuicio de la generalidad de lo expuesto anteriormente, el Cliente acuerda que será responsable de estar en cumplimiento con todas las leyes (incluidas las Leyes de Protección de Datos) aplicables a Campañas (conforme definido en el Contrato) u otros contenidos creados, enviados o gestionados por medio del Servicio, inclusive relacionados con la obtención de consentimientos (cuando sea necesario) para enviar comunicaciones.

7. Legalidad de las Instrucciones del Cliente

1. El Cliente asegurará que el procesamiento de los Datos del Cliente por E-goi de acuerdo con las instrucciones del Cliente no llevará a E-goi a violar leyes, regulaciones o normas aplicables, incluidas, sin limitación, las Leyes de Protección de Datos.

2. E-goi notificará inmediatamente al Cliente por escrito, a menos que esté prohibida de hacerlo de acuerdo con las Leyes Europeas de Protección de Datos, si toma conciencia o cree que alguna instrucción de procesamiento de datos del Cliente viola las Leyes Europeas de Protección de Datos.

3. Cuando el Cliente actúe como Subcontratista en nombre de un Responsable del Tratamiento tercero (u otro intermediario del Responsable del Tratamiento final), el Cliente garantiza que sus instrucciones de procesamiento, conforme establecido en el Contrato y en este Acuerdo de Procesamiento de Datos, incluidas sus autorizaciones para E-goi para el nombramiento de Subcontratistas de acuerdo con este Acuerdo de Procesamiento de Datos, fueron autorizadas por el respectivo Responsable del Tratamiento.

4. El Cliente actuará como el único punto de contacto de E-goi y E-goi no necesitará interactuar directamente con (ni proporcionar notificaciones a o solicitar autorizaciones de) Responsables del Tratamiento terceros sin ser por medio del suministro regular del Servicio en la medida determinada por el Contrato. El Cliente será responsable de remitir todas las notificaciones recibidas en términos de este Acuerdo de Procesamiento de Datos al respectivo Responsable del Tratamiento, cuando sea el caso.

8. Confidencialidad

1. E-goi asegurará que las personas autorizadas por E-goi a procesar los Datos del Cliente (incluido su equipo, agentes y subcontratistas) estén bajo la debida obligación (contractual o legal) de confidencialidad.

9. Seguridad del tratamiento

1. E-goi implementa medidas técnicas y organizativas robustas para garantizar la seguridad de los datos personales, asegurando un nivel de protección adecuado al riesgo asociado al tratamiento de los datos. Estas medidas incluyen, pero no se limitan, a la protección de los datos contra una violación de seguridad que cause, de manera accidental o ilícita, la destrucción, pérdida, alteración, divulgación o acceso no autorizados a los datos (violación de datos personales). Adicionalmente, E-goi adopta prácticas avanzadas de Seguridad de la Información, alineadas con normas y buenas prácticas reconocidas internacionalmente, para mitigar los riesgos relacionados con la confidencialidad, integridad y disponibilidad de los datos personales. Para más detalles sobre el enfoque de E-goi a la Seguridad de la Información, incluidas medidas específicas y políticas aplicables, consulte la Politica de Seguridad (adjunta al presente contrato), que detalla las prácticas y los compromisos de E-goi para proteger los datos personales tratados en el ámbito del Servicio.

2. E-goi solo debe conceder acceso a los datos personales objeto de tratamiento a los miembros de su personal en la medida estrictamente necesaria para la ejecución, gestión y seguimiento del contrato.

3. El Cliente acuerda que, salvo conforme dispuesto en este Acuerdo de Procesamiento de Datos, el Cliente es responsable por el uso seguro del Servicio, incluida la protección de sus credenciales de autenticación de cuenta, protección de la seguridad de los Datos del Cliente cuando están en tránsito de y hacia el Servicio, y por las medidas debidas de cifrado seguro o respaldo seguro de los Datos del Cliente cargados en el Servicio.

10. Transferencias internacionales

1. Los servidores de almacenamiento y procesamiento de datos de E-goi se encuentran ubicados en Portugal, dentro del Espacio Económico Europeo (EEE). No almacenamos datos fuera del EEE. Por consiguiente, la información del Cliente y de sus Contactos no será transferida o procesada fuera del EEE por E-goi, siendo siempre tratada de forma segura y en conformidad con este Acuerdo de Procesamiento de Datos y con la legislación de protección de datos aplicable.

2. No obstante, E-goi podrá recurrir a subcontratistas para la prestación de determinados servicios, conforme se detalla posteriormente en este Acuerdo. Estos subcontratistas pueden procesar datos en países fuera del EEE. En situaciones en las que sea necesaria la transferencia de datos personales fuera del EEE, E-goi se compromete a garantizar que se implementan todas las salvaguardias exigidas por las leyes de protección de datos aplicables, incluyendo, pero no limitándose a las mencionadas en los artículos 44º a 47º del RGPD.

3. E-goi monitorizará continuamente el cumplimiento de estas transferencias internacionales con los requisitos de las Leyes Europeas de Protección de Datos (incluyendo el RGPD) y las Leyes No Europeas de Protección de Datos (incluyendo el LGPD) y otros reglamentos aplicables, garantizando que los datos del Cliente están siempre protegidos con el más alto nivel de seguridad y privacidad.

11. Recurso a Subcontratistas

1. La plataforma E-goi está diseñada de forma tal que controla todos los flujos de datos, para garantizar un modelo "privacy by design", incluyendo medidas técnicas y organizativas que garantizan la minimización de riesgos y el cumplimiento de las Leyes de Protección de Datos. Los datos del Cliente no se transfieren fuera de los sistemas controlados por E-goi, excepto en casos específicos, en los cuales sea estrictamente necesario recurrir a Subcontratistas.

2. El Cliente acuerda que E-goi podrá contratar Subcontratistas para procesar Datos Personales proporcionados por el Cliente en su nombre, de acuerdo con las instrucciones documentadas del Cliente, de E-goi y las Leyes de Protección de Datos. Los Subcontratistas contratados por E-goi están sujetos a obligaciones contractuales de confidencialidad y protección de datos que son, como mínimo, tan rigurosas como las obligaciones establecidas en este Acuerdo de Procesamiento de Datos.

3. E-goi notificará al Cliente por RSS sobre cualquier cambio a este documento, incluyendo la inclusión de nuevos Subcontratistas, con la mayor brevedad posible, antes o después de autorizar a tales nuevos Subcontratistas a procesar los Datos Personales. El Cliente tendrá la posibilidad, en caso de objeción justificada por una violación de las Leyes de Protección de Datos, de rescindir el Contrato dentro del plazo de treinta (30) días después de esa notificación.

4. El conjunto de Subcontratistas actualmente contratados por E-goi y autorizados por el Cliente para proceder al tratamiento de datos personales así como para otros fines sin procesar datos personales es el siguiente:

12. Asistencia al Responsable del Tratamiento

1. E-goi debe prestar asistencia al Cliente en el cumplimiento de sus obligaciones de respuesta a los pedidos de ejercicio de derechos presentados por los titulares de los datos, teniendo en cuenta la naturaleza del tratamiento. En el cumplimiento de las obligaciones que le corresponden, E-goi debe seguir las instrucciones del Cliente.

2. Como parte del Servicio, E-goi proporciona al Cliente varios recursos de auto-servicio que el Cliente podrá usar para recuperar, corregir, eliminar o restringir el uso de los Datos del Cliente, ayudándole en relación con sus obligaciones (o del Responsable del Tratamiento tercero) de acuerdo con las Leyes de Protección de Datos en relación a responder a solicitudes de titulares de datos a través de la cuenta del Cliente sin ningún costo adicional.

3. Además, considerando la naturaleza del procesamiento, E-goi dará la asistencia adicional necesaria al Cliente en la medida de lo posible para que el Cliente (o su Responsable del Tratamiento tercero) cumpla sus obligaciones de protección de datos en relación con los derechos del titular de los datos bajo los términos de las Leyes de Protección de Datos.

4. Si esta solicitud se hace directamente a E-goi, E-goi no responderá a esa comunicación directamente, salvo según lo apropiado (por ejemplo, para direccionar al titular de los datos a contactar al Cliente) o determinado por ley, sin la autorización previa del Cliente. Si E-goi se ve obligado a atender esta solicitud, E-goi, cuando el Cliente sea identificado o identificable a partir de la solicitud, notificará inmediatamente al Cliente y le proporcionará una copia de la solicitud, a menos que E-goi esté legalmente prohibido de hacerlo.

5. Además de la obligación que tiene E-goi de prestar asistencia al Cliente bajo los términos anteriores, E-goi presta asistencia al Cliente para asegurar el cumplimiento de las obligaciones previstas en los artículos 32º a 36º del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información al dispor de E-goi.

13. Notificación de Violación de Datos Personales

1. En caso de violación de datos personales relacionados con datos tratados por E-goi, E-goi debe notificar al Cliente en el plazo máximo de 72 horas después de haberse enterado de la violación. Esta notificación debe contener, al menos, los siguientes elementos:

a. Una descripción de la naturaleza de la violación (incluyendo, si es posible, las categorías y el número aproximado de titulares de datos afectados y de registros de datos implicados);

b. Los datos de un punto de contacto donde se puedan obtener más informaciones relativas a la violación de datos personales;

c. Las consecuencias probables de la violación y las medidas adoptadas o propuestas para repararla, incluyendo cómo mitigar sus posibles efectos negativos.

2. En caso de que no sea posible comunicar toda esta información al mismo tiempo, la notificación inicial debe contener la información disponible en ese momento, y cualquier información adicional debe ser proporcionada posteriormente sin demora injustificada tan pronto como esté disponible.

3. La notificación o respuesta de E-goi a un Incidente de Seguridad conforme a esta cláusula no se interpretará como una confirmación por parte de E-goi de culpa o responsabilidad en relación al Incidente de Seguridad.

4. Es responsabilidad del Cliente notificar al titular de datos, a las autoridades legales y/o a otras entidades, según la legislación aplicable.

14. Exclusión o Devolución de Datos al Rescindir

1. Tras la resolución o expiración del Contrato, E-goi, de acuerdo con la elección del Cliente, devolverá al Cliente todos los Datos del Cliente tratados en el marco de la prestación del Servicio o procederá a la supresión de dichos Datos, incluidas todas las copias que obren en su posesión o bajo su control. En caso de que el Cliente no comunique su elección antes de la fecha de terminación del Contrato, E-goi procederá a la supresión de los Datos del Cliente, sin perjuicio de poner a disposición del Cliente los mecanismos de exportación aplicables durante el período y en las condiciones previstas en el Contrato.

2. La supresión de los Datos del Cliente por parte de E-goi se llevará a cabo en un plazo máximo de 30 días desde la terminación del Contrato o, cuando resulte aplicable, desde la conclusión de la devolución de los datos al Cliente.

3. Los Datos del Cliente que permanezcan temporalmente en sistemas de copia de seguridad, debido a la imposibilidad técnica de proceder a su supresión individualizada sin comprometer la integridad o la seguridad de dichos sistemas, serán:

a) aislados y protegidos mediante medidas técnicas y organizativas adecuadas;

b) excluidos de cualquier tratamiento ulterior, salvo cuando resulte estrictamente necesario a efectos de recuperación en caso de incidente;

c) en caso de restauración de una copia de seguridad, sometidos nuevamente al proceso de supresión previsto en la presente cláusula; y

d) suprimidos definitivamente mediante el ciclo ordinario y automático de sustitución de las copias de seguridad, en un plazo máximo de 90 días desde la supresión de los Datos originales.

4. Una vez finalizado el proceso de devolución o supresión, incluida la supresión definitiva de los datos existentes en sistemas de copia de seguridad, E-goi enviará automáticamente al Cliente, por correo electrónico, una notificación confirmando la conclusión del proceso, sin necesidad de solicitud previa.

5. E-goi únicamente podrá conservar Datos del Cliente más allá de los plazos previstos en la presente cláusula cuando dicha conservación sea exigida por el Derecho de la Unión Europea o por la legislación nacional aplicable. En tal caso, E-goi informará al Cliente, salvo prohibición legal, sobre los datos conservados, el fundamento jurídico aplicable y el correspondiente período de conservación, limitando su tratamiento a lo estrictamente necesario para el cumplimiento de dicha obligación legal.

6. Las obligaciones previstas en la presente cláusula serán igualmente aplicables a los subencargados del tratamiento que intervengan en el tratamiento de los Datos del Cliente, debiendo E-goi garantizar que estos procedan a su devolución o supresión en los mismos términos.

15. Informes y Derechos de Auditoría de Seguridad

1. E-goi pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de este Acuerdo de Procesamiento de Datos y facilitará y contribuirá a auditorías, incluidas inspecciones por el Cliente o por otro auditor designado para evaluar el cumplimiento de este Acuerdo de Procesamiento de Datos.

2. El Cliente se reserva el derecho de, previo aviso de diez días hábiles, y durante las horas normales de trabajo, realizar auditorías en las instalaciones de E-goi, directamente o a través de su representante, con el objetivo de verificar el cumplimiento de las obligaciones del presente Contrato y recoger elementos que puedan introducir mejoras en la actividad desarrollada por ambas Partes.

3. Las auditorías mencionadas en el número anterior, serán acompañadas por uno o varios empleados/colaboradores de E-goi, cuyo objetivo será siempre el cumplimiento del Contrato, por lo que se tomarán las medidas necesarias para que no ocurran incidentes que comprometan la seguridad, privacidad y propiedad industrial de Terceros.

4. Si como resultado de una auditoría se constatan incumplimientos de las obligaciones del Contrato, el Segundo Otorgante notificará por escrito a E-goi para que en el plazo previsto en el Contrato cese el incumplimiento, bajo pena de ejercer el derecho de resolución.

5. El Cliente reconoce y acuerda que ejercerá sus derechos de auditoría conforme a este Acuerdo de Procesamiento de Datos y todos los derechos de auditoría otorgados por las Leyes de Protección de Datos. Los clientes pueden enviar sus solicitudes completando un formulario de contacto (en https://www.e-goi.com/pt/contactos/).

16. Términos Específicos de la Jurisdicción

1. Si E-goi procesa los Datos del Cliente originados y protegidos por las Leyes de Protección de Datos en una de las jurisdicciones enumeradas en el Anexo A, los términos especificados en el Anexo A en relación con la(s) jurisdicción(es) aplicable(s) (“Términos Específicos de la Jurisdicción”) se aplican además de los términos de este Acuerdo de Procesamiento de Datos.

2. En caso de conflicto o ambigüedad entre los Términos Específicos de la Jurisdicción y otros términos de este Acuerdo de Procesamiento de Datos, los Términos Específicos de la Jurisdicción aplicables tendrán precedencia, pero solo en la medida de la aplicabilidad de los Términos Específicos de la Jurisdicción a E-goi.

17. Limitación de Responsabilidad

1. La responsabilidad de cada Parte y de todas sus Afiliadas asumida conjuntamente en el agregado derivado de este Acuerdo de Procesamiento de Datos estará sujeta a las exclusiones y limitaciones de responsabilidad establecidas en el Contrato.

18. Acciones Contra E-goi

1. Todas las acciones contra E-goi en virtud de este Acuerdo de Procesamiento de Datos o relacionadas con ello serán propuestas exclusivamente por la entidad Cliente que sea parte en el Contrato.

19. Derechos de Protección de Datos

1. En ningún caso ninguna de las partes limitará su propia responsabilidad en relación con los derechos de protección de datos de ninguna persona física en los términos de este Acuerdo de Procesamiento de Datos o de otra forma.

20. Vigencia del Acuerdo de Procesamiento de Datos

1. Este Acuerdo de Procesamiento de Datos permanecerá en vigor mientras E-goi realice operaciones de procesamiento de Datos del Cliente en nombre del Cliente o hasta la rescisión del Contrato (y que todos los Datos del Cliente hayan sido devueltos o eliminados).

21. Sustitución de Contratos Anteriores

1. Las partes acuerdan que este Acuerdo de Procesamiento de Datos sustituirá cualquier contrato de procesamiento de datos existente o documento similar que las partes puedan haber celebrado anteriormente con respecto al Servicio.

22. Precedencia de Documentos

1. En caso de conflicto o inconsistencia entre este Acuerdo de Procesamiento de Datos y los Términos de Uso de E-goi, las disposiciones de los siguientes documentos (en orden de precedencia) prevalecerán: (i) Acuerdo de Procesamiento de Datos; (ii) Contrato; (iii) Términos de Uso de E-goi.

23. Continuidad del Contrato

1. Salvo en caso de alteraciones hechas por este Acuerdo de Procesamiento de Datos, el Contrato permanece inalterado y en pleno vigor y efecto.

24. Derechos de Terceros

1. Personas que no sean parte en este Acuerdo de Procesamiento de Datos o sus respectivos sucesores y cesionarios autorizados no tendrán derecho de aplicar ninguno de los términos de este Acuerdo de Procesamiento de Datos.

25. Ley Aplicable y Jurisdicción

1. Este Acuerdo de Procesamiento de Datos será regido e interpretado de acuerdo con las disposiciones legales y jurisdiccionales vigentes en el Contrato, a menos que de otra forma determinado por las Leyes de Protección de Datos aplicables.

26. Dudas y Contacto

1. Si el Cliente tiene alguna duda o preocupación relacionada con este Acuerdo de Procesamiento de Datos o las prácticas de privacidad de E-goi, podrá entrar en contacto con E-goi a través de los siguientes medios :

a. Formulario de contacto: https://www.e-goi.com/es/contacte-con-nosotros/

b. E-mail: dpo@e-goi.com

c. Dirección postal: E-goi, Av. Menéres, 840 4450-190 Matosinhos Portugal

2. E-goi se compromete a responder a todas las solicitudes y preocupaciones presentadas por el Cliente en conformidad con las leyes de protección de datos aplicables, garantizando una respuesta rápida y adecuada a las cuestiones planteadas.

Anexo A – Términos Específicos de la Jurisdicción

Brasil

Sección I - Información General

1. Identificación de las Partes

1.1. Por medio del presente instrumento contractual, el Exportador y el Importador (en adelante, Partes), identificados a continuación, resuelven adoptar las cláusulas estándar contractuales (en adelante Cláusulas) aprobadas por la Autoridad Nacional de Protección de Datos (ANPD), para regir la Transferencia Internacional de Datos descrita en la Cláusula 2, en conformidad con las disposiciones de la Legislación Nacional.

Nombre: El Cliente, según indicado en el Contrato o en los datos de la Cuenta E-goi.

Calificación: Controlador

Dirección principal: El Cliente, según indicado en el Contrato o en los datos de facturación en la Cuenta E-goi.

Dirección de e-mail: El Cliente, según indicado en el Contrato o en los datos de facturación en la Cuenta E-goi.

Contacto para el Titular: El Cliente, según indicado en el Contrato o en los datos de la Cuenta E-goi.

Otras informaciones: (X) Exportador/Controlador) ( ) Exportador/Operador)

Nombre: E-goi, Lda

Calificación: Operador

Dirección principal: Según indicado en el Contrato

Dirección de e-mail: Según indicado en el Contrato

Contacto para el Titular: Según indicado en el Contrato

Otras informaciones: ( ) Importador/Controlador (X) Importador/Operador

2. Objeto

2.1. Estas Cláusulas se aplican a las Transferencias Internacionales de Datos del Exportador al Importador, como se describe a continuación.

Descripción de la transferencia internacional de datos: Según indicado en el Contrato.

Principales finalidades de la transferencia: Según indicado en el Contrato.

Categorías de datos personales transferidos: Según indicado en el Contrato.

Período de almacenamiento de los datos: Según indicado en el Contrato.

Otras informaciones: No aplicable

3. Transferencias Posteriores

3.1. El Importador podrá realizar Transferencia Posterior de los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas en los casos y condiciones descritas a continuación y siempre que se observen las disposiciones de la Cláusula 18.

Principales finalidades de la transferencia: Según indicado en el Contrato.

Categorías de datos personales transferidos: Según indicado en el Contrato.

Período de almacenamiento de los datos: Según indicado en el Contrato.

Otras informaciones: No aplicable

4. Responsabilidades de las Partes

4.1. Sin perjuicio del deber de asistencia mutua y de las obligaciones generales de las Partes, corresponderá a la Parte Designada a continuación, en calidad de Controlador, la responsabilidad por el cumplimiento de las siguientes obligaciones previstas en estas Cláusulas:

a) Responsable de publicar el documento previsto en la Cláusula 14; (X) Exportador ( ) Importador

b) Responsable de atender a las solicitudes de titulares de las que trata la CLÁUSULA 15: (X) Exportador ( ) Importador

c) Responsable de realizar la comunicación de incidente de seguridad prevista en la Cláusula 16: (X) Exportador ( ) Importador

4.2. Para los fines de estas Cláusulas, verificado, posteriormente, que la Parte Designada en la forma del ítem 4.1. actúa como Operador, el Controlador permanecerá responsable:

a) por el cumplimiento de las obligaciones previstas en las Cláusulas 14, 15 y 16 y demás disposiciones establecidas en la Legislación Nacional, especialmente en caso de omisión o incumplimiento de las obligaciones por la Parte Designada;

b) por el cumplimiento de las determinaciones de la ANPD; y

c) por la garantía de los derechos de los Titulares y por la reparación de los daños causados, observando lo dispuesto en la Cláusula 17.

Sección II - Cláusulas Mandatorias

5. Finalidad

5.1. Estas Cláusulas se presentan como mecanismo facilitador del flujo internacional seguro de datos personales, establecen garantías mínimas y condiciones válidas para la realización de Transferencia Internacional de Datos y buscan garantizar la adopción de las salvaguardas adecuadas para el cumplimiento de los principios, los derechos del Titular y el régimen de protección de datos previstos en la Legislación Nacional.

6. Definiciones

6.1. Para los fines de estas Cláusulas, se considerarán las definiciones del art. 5° de la Ley nº 13.709, de 14 de agosto de 2018, y del art. 3º del Reglamento de Transferencia Internacional de Datos Personales, sin perjuicio de otros actos normativos expedidos por la ANPD. Las Partes acuerdan, además, en considerar los términos y sus respectivos significados, conforme se expone a continuación:

a) Agentes de tratamiento: el controlador y el operador;

b) ANPD: Autoridad Nacional de Protección de Datos;

c) Cláusulas: las cláusulas estándar contractuales aprobadas por la ANPD, que integran las Secciones I, II y III;

d) Contrato Coligado: instrumento contractual firmado entre las Partes o, al menos, entre una de estas y un tercero, incluyendo un Tercer Controlador, que posea propósito común, vinculación o relación de dependencia con el contrato que rige la Transferencia Internacional de Datos;

e) Controlador: Parte o tercero ("Tercer Controlador") a quien compete las decisiones referentes al tratamiento de Datos Personales;

f) Dato Personal: información relacionada a persona natural identificada o identificable;

g) Dato Personal Sensible: dato personal sobre origen racial o étnico, convicción religiosa, opinión política, afiliación a sindicato o a organización de carácter religioso, filosófico o político, dato referente a la salud o a la vida sexual, dato genético o biométrico, cuando esté vinculado a una persona natural; h) Eliminación: exclusión de dato o de conjunto de datos almacenados en base de datos, independientemente del procedimiento empleado;

i) Exportador: agente de tratamiento, localizado en el territorio nacional o en país extranjero, que transfiere datos personales para Importador; j) Importador: agente de tratamiento, localizado en país extranjero o que sea organismo internacional, que recibe datos personales transferidos por Exportador;

k) Legislación Nacional: conjunto de dispositivos constitucionales, legales y reglamentarios brasileños respecto a la protección de Datos Personales, incluyendo la Ley nº 13.709, de 14 de agosto de 2018, el Reglamento de Transferencia Internacional de Datos y otros actos normativos expedidos por la ANPD;

l) Ley de Arbitraje: Ley nº 9.307, de 23 de septiembre de 1996;

m) Medidas de Seguridad: medidas técnicas y administrativas adoptadas para proteger los datos personales de accesos no autorizados y de situaciones accidentales o ilícitas de destrucción, pérdida, alteración, comunicación o difusión;

n) Órgano de Investigación: órgano o entidad de la administración pública directa o indirecta o persona jurídica de derecho privado sin fines de lucro legalmente constituida bajo las leyes brasileñas, con sede e foro en el País, que incluya en su misión institucional o en su objetivo social o estatutario la investigación básica o aplicada de carácter histórico, científico, tecnológico o estadístico;

o) Operador: Parte o tercero, incluyendo un Subcontratado, que realiza el tratamiento de Datos Personales en nombre del Controlador;

p) Parte Designada: Parte del contrato designada, en los términos de la Cláusula 4 ("Opción A"), para cumplir, en calidad de Controlador, obligaciones específicas relativas a la transparencia, derechos de los Titulares y comunicación de incidentes de seguridad; q) Partes: Exportador e Importador;

r) Solicitud de Acceso: solicitud de atención obligatoria, por fuerza de ley, reglamento o determinación de autoridad pública, para conceder acceso a los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas;

s) Subcontratado: agente de tratamiento contratado por el Importador, sin vínculo con el Exportador, para realizar tratamiento de Datos Personales tras una Transferencia Internacional de Datos;

t) Tercer Controlador: Controlador de los Datos Personales que proporciona instrucciones por escrito para la realización, en su nombre, de la Transferencia Internacional de Datos entre Operadores regida por estas Cláusulas, en la forma de la Cláusula 4 ("Opción B");

u) Titular: persona natural a quien se refieren los Datos Personales que son objeto de la Transferencia Internacional de Datos regida por estas Cláusulas;

v) Transferencia: modalidad de tratamiento mediante la cual un agente de tratamiento transmite, comparte o pone a disposición acceso a Datos Personales a otro agente de tratamiento;

w) Transferencia Internacional de Datos: transferencia de Datos Personales a país extranjero u organismo internacional del cual el país sea miembro; y

x) Transferencia Posterior: transferencia Internacional de Datos, originada de un Importador, y destinada a un tercero, incluyendo un Subcontratado, siempre que no configure Solicitud de Acceso.

7. Legislación Aplicable y Supervisión de la ANPD

7.1. La Transferencia Internacional de Datos objeto de las presentes Cláusulas se somete a la Legislación Nacional y a la supervisión de la ANPD, incluyendo el poder de aplicar medidas preventivas y sanciones administrativas a ambas Partes, según el caso, así como el de limitar, suspender o prohibir las transferencias internacionales derivadas de estas Cláusulas o de un Contrato Coligado.

8. Interpretación

8.1. Cualquier aplicación de estas Cláusulas debe ocurrir de acuerdo con los siguientes términos:

a) estas Cláusulas deben siempre ser interpretadas de manera más favorable al Titular y de acuerdo con las disposiciones de la Legislación Nacional;

b) en caso de duda sobre el significado de términos de estas Cláusulas, se aplica el significado que más se alinee con la Legislación Nacional; Version Date: 2024/12/20 15/21

c) ningún elemento de estas Cláusulas, incluyendo aquí un Contrato Coligado y las disposiciones previstas en la Sección IV, podrá ser interpretado con el objetivo de limitar o excluir la responsabilidad de cualquiera de las Partes en relación a obligaciones previstas en la Legislación Nacional; y

d) las disposiciones de las Secciones I y II prevalecen en caso de conflicto de interpretación con Cláusulas adicionales y demás disposiciones previstas en las Secciones III y IV de este instrumento o en Contratos Coligados.

9. Posibilidad de Adhesión de Terceros

9.1. De común acuerdo entre las Partes, es posible que un agente de tratamiento se adhiera a estas Cláusulas en calidad de Exportador o de Importador, mediante el llenado y firma de documento escrito, que integrará el presente instrumento.

9.2. La parte adherente tendrá los mismos derechos y obligaciones de las Partes originarias, de acuerdo con la posición asumida de Exportador o Importador y según la categoría de agente de tratamiento correspondiente.

10. Obligaciones Generales de las Partes

10.1. Las Partes se comprometen a adoptar y, cuando sea necesario, demostrar la adopción de medidas eficaces y capaces de comprobar la observancia y el cumplimiento de las disposiciones de estas Cláusulas y de la Legislación Nacional y, inclusive, de la eficacia de esas medidas y, en especial:

a) utilizar los Datos Personales solamente para las finalidades específicas descritas en la Cláusula 2, sin posibilidad de tratamiento posterior de forma incompatible con esas finalidades, observadas, en cualquier caso, las limitaciones, garantías y salvaguardas previstas en estas Cláusulas;

b) garantizar la compatibilidad del tratamiento con las finalidades informadas al Titular, de acuerdo con el contexto del tratamiento;

c) limitar el tratamiento al mínimo necesario para la realización de sus finalidades, con alcance de los datos pertinentes, proporcionales y no excesivos en relación a las finalidades del tratamiento de Datos Personales;

d) garantizar a los Titulares, observado lo dispuesto en la Cláusula 4.

(d.1.) informaciones claras, precisas y fácilmente accesibles sobre la realización del tratamiento y los respectivos agentes de tratamiento, observados los secretos comercial e industrial;

(d.2.) consulta facilitada y gratuita sobre la forma y la duración del tratamiento, así como sobre la integridad de sus Datos Personales; y

(d.3.) la exactitud, claridad, relevancia y actualización de los Datos Personales, de acuerdo con la necesidad y para el cumplimiento de la finalidad de su tratamiento; e) adoptar las medidas de seguridad apropiadas y compatibles con los riesgos involucrados en la Transferencia Internacional de Datos regida por estas Cláusulas;

f) no realizar tratamiento de Datos Personales para fines discriminatorios ilícitos o abusivos; g) asegurar que cualquier persona que actúe bajo su autoridad, inclusive subcontratados o cualquier agente que con él colabore, de forma gratuita u onerosa, realice tratamiento de datos solo en conformidad con sus instrucciones y con lo dispuesto en estas Cláusulas; y

h) mantener registro de las operaciones de tratamiento de los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas, y presentar la documentación pertinente a la ANPD, cuando sea solicitado.

11. Datos Personales Sensibles

11.1. En caso de que la Transferencia Internacional de Datos involucre Datos Personales sensibles, las Partes aplicarán salvaguardas adicionales, incluyendo medidas de seguridad específicas y proporcionales a los riesgos de la actividad de tratamiento, a la naturaleza específica de los datos y a los intereses, derechos y garantías a ser protegidos, conforme se describe en la Sección III.

12. Datos Personales de Niños y Adolescentes

12.1. En caso de que la Transferencia Internacional de Datos involucre Datos Personales de niños y adolescentes, las Partes aplicarán salvaguardas adicionales, incluyendo medidas que garanticen que el tratamiento sea realizado en su mejor interés, en los términos de la Legislación Nacional y de los instrumentos pertinentes de derecho internacional.

13. Uso Legal de los Datos

13.1. El Exportador garantiza que los Datos Personales fueron recolectados, tratados y transferidos al Importador de acuerdo con la Legislación Nacional.

14. Transparencia

14.1. La Parte Designada publicará, en su página en Internet, documento que contenga información fácilmente accesible redactada en lenguaje simple, claro y preciso sobre la realización de la Transferencia Internacional de Datos, incluyendo, al menos, información sobre:

a) la forma, la duración y la finalidad específica de la transferencia internacional;

b) el país de destino de los datos transferidos;

c) la identificación y los contactos de la Parte Designada;

d) el uso compartido de datos por las Partes y la finalidad;

e) las responsabilidades de los agentes que realizarán el tratamiento;

f) los derechos del Titular y los medios para su ejercicio, incluyendo canal de fácil acceso disponible para atender a sus solicitudes y el derecho de presentar quejas contra el Controlador ante la ANPD; y

g) Transferencias Posteriores, incluyendo las relativas a los destinatarios y a la finalidad de la transferencia.

14.2. El documento referido en el ítem 14.1. podrá ser disponibilizado en una página específica o integrado, de forma destacada y de fácil acceso, a la Política de Privacidad o documento equivalente.

14.3. A solicitud, las Partes deben disponibilizar, gratuitamente, al Titular una copia de estas Cláusulas, observados los secretos comercial e industrial.

14.4. Toda la información disponibilizada a los titulares, en los términos de estas Cláusulas, deberá ser redactada en lengua portuguesa.

15. Derechos del Titular

15.1. El Titular tiene derecho a obtener de la Parte Designada, en relación con los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas, en cualquier momento, y mediante requerimiento, en los términos de la Legislación Nacional:

a) confirmación de la existencia de tratamiento;

b) acceso a los datos;

c) corrección de datos incompletos, inexactos o desactualizados;

d) anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en desconformidad con estas Cláusulas y con lo dispuesto en la Legislación Nacional;

e) portabilidad de los datos a otro proveedor de servicio o producto, mediante requerimiento expreso, de acuerdo con la reglamentación de la ANPD, observados los secretos comercial e industrial;

f) eliminación de los Datos Personales tratados con el consentimiento del Titular, excepto en los casos previstos en la Cláusula 20;

g) información de las entidades públicas y privadas con las cuales las Partes realizaron uso compartido de datos;

h) información sobre la posibilidad de no brindar consentimiento y sobre las consecuencias de la negativa;

i) revocación del consentimiento mediante procedimiento gratuito y facilitado, ratificados los tratamientos realizados antes del requerimiento de eliminación;

j) revisión de decisiones tomadas únicamente con base en tratamiento automatizado de datos personales que afecten sus intereses, incluidas las decisiones destinadas a definir su perfil personal, profesional, de consumo y de crédito o los aspectos de su personalidad; y

k) informaciones respecto a los criterios y a los procedimientos utilizados para la decisión automatizada, observados los secretos comercial e industrial.

15.2. El titular puede oponerse a tratamiento realizado con fundamento en una de las hipótesis de dispensa de consentimiento, en caso de incumplimiento de lo dispuesto en estas Cláusulas o en la Legislación Nacional.

15.3. El plazo para atender las solicitudes previstas en esta Cláusula y en el ítem 14.3. es de 15 (quince) días contados desde la fecha del requerimiento del titular, salvo el caso de plazo distinto establecido en reglamentación específica de la ANPD.

15.4. En caso de que la solicitud del Titular sea dirigida a la Parte no designada como responsable por las obligaciones previstas en esta Cláusula o en el ítem 14.3., la Parte deberá:

a) informar al Titular el canal de atención disponible por la Parte Designada; o

b) enviar la solicitud a la Parte Designada lo antes posible, a fin de viabilizar la respuesta en el plazo previsto en el ítem 15.3.

15.5. Las Partes deben informar, inmediatamente, a los Agentes de Tratamiento con los cuales hayan realizado uso compartido de datos la corrección, la eliminación, la anonimización o el bloqueo de los datos, para que repitan idéntico procedimiento, excepto en los casos en que esta comunicación sea comprobablemente imposible o implique un esfuerzo desproporcionado.

15.6. Las Partes deben promover asistencia mutua con la finalidad de atender a las solicitudes de los Titulares.

16. Comunicación de Incidente de Seguridad

16.1. La Parte Designada deberá comunicar a la ANPD y a los Titulares, en el plazo de 3 (tres) días hábiles, la ocurrencia de incidente de seguridad que pueda acarrear riesgo o daño relevante para los Titulares, observado lo dispuesto en la Legislación Nacional.

16.2. El Importador debe mantener el registro de incidentes de seguridad en los términos de la Legislación Nacional.

17. Responsabilidad e Indemnización de Daños

17.1. La Parte que, en razón del ejercicio de la actividad de tratamiento de Datos Personales, cause daño patrimonial, moral, individual o colectivo, en violación a las disposiciones de estas Cláusulas y de la Legislación Nacional, está obligada a repararlo.

17.2. El Titular podrá solicitar la reparación del daño causado por cualquiera de las Partes en razón de la violación de estas Cláusulas.

17.3. La defensa de los intereses y derechos de los Titulares podrá ser solicitada en juicio, individual o colectivamente, en la forma de lo dispuesto en la legislación pertinente acerca de los instrumentos de tutela individual y colectiva.

17.4. La Parte que actúe como Operador responde, solidariamente, por los daños causados por el tratamiento cuando incumpla las presentes Cláusulas o cuando no haya seguido las instrucciones legítimas del Controlador, excepto lo dispuesto en el ítem 17.6.

17.5. Los Controladores que estén directamente involucrados en el tratamiento del cual derivaron daños al Titular responden, solidariamente, por estos daños, excepto lo dispuesto en el ítem 17.6.

17.6. No habrá responsabilidad de las Partes si se comprueba que: a) no realizaron el tratamiento de Datos Personales que les es atribuido; b) aunque hayan realizado el tratamiento de Datos Personales que les es atribuido, no hubo violación a estas Cláusulas o a la Legislación Nacional; o c) el daño resulta de culpa exclusiva del Titular o de un tercero que no sea destinatario de Transferencia Posterior o subcontratado por las Partes.

17.7. Según la Legislación Nacional, el juez podrá invertir el peso de la prueba a favor del Titular cuando, a su juicio, sea verosímil la alegación, haya insuficiencia para fines de producción de prueba o cuando la producción de prueba por el Titular resulte en exceso oneroso.

17.8. Las acciones de reparación por daños colectivos que tengan por objeto la responsabilidad en términos de esta Cláusula pueden ser ejercidas colectivamente en juicio, observado lo dispuesto en la legislación pertinente.

17.9. La Parte que repare el daño al titular tiene derecho de regreso contra los demás responsables, en la medida de su participación en el evento dañino.

18. Salvaguardas para Transferencia Posterior

18.1. El Importador solo podrá realizar Transferencias Posteriores de los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas si se autoriza expresamente, conforme las hipótesis y condiciones descritas en la Cláusula 3.

18.2. En cualquier caso, el Importador: a) debe asegurar que la finalidad de la Transferencia Posterior sea compatible con las finalidades específicas descritas en la Cláusula 2; b) debe garantizar, mediante instrumento contractual escrito, que las salvaguardas previstas en estas Cláusulas serán observadas por el tercer destinatario de la Transferencia Posterior; y c) para fines de estas Cláusulas, y en relación con los Datos Personales transferidos, será considerado responsable por eventuales irregularidades practicadas por el tercer destinatario de la Transferencia Posterior.

18.3. La Transferencia Posterior podrá, además, realizarse con base en otro mecanismo válido de Transferencia Internacional de Datos previsto en la Legislación Nacional, independientemente de la autorización de la que trata la Cláusula 3.

19. Notificación de Solicitud de Acceso

19.1. El Importador notificará al Exportador y al Titular sobre Solicitud de Acceso relacionada con los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas, salvo el caso de prohibición de notificación por la ley del país de tratamiento de los datos.

19.2. El Importador adoptará las medidas legales adecuadas, incluyendo acciones judiciales, para proteger los derechos de los Titulares siempre que haya fundamento jurídico adecuado para cuestionar la legalidad de la Solicitud de Acceso y, si es el caso, la prohibición de realizar la notificación referida en el ítem 19.1.

19.3. Para atender las solicitudes de la ANPD y del Exportador, el Importador debe mantener un registro de Solicitudes de Acceso, incluyendo fecha, solicitante, finalidad de la solicitud, tipo de datos solicitados, número de solicitudes recibidas y medidas legales adoptadas.

20. Finalización del Tratamiento y Eliminación de los Datos

20.1. Las Partes deberán eliminar los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas tras la finalización del tratamiento, en el ámbito y en los límites técnicos de las actividades, autorizada la conservación solo para las siguientes finalidades: a) cumplimiento de obligación legal o regulatoria por el Controlador; b) estudio por Órgano de Investigación, garantizada, siempre que sea posible, la anonimización de los Datos Personales; c) transferencia a tercero, siempre que se respeten los requisitos previstos en estas Cláusulas y en la Legislación Nacional; y d) uso exclusivo del Controlador, prohibido su acceso por tercero, y siempre que los datos se anonimen.

20.2. Para fines de esta Cláusula, se considera que la finalización del tratamiento ocurrirá cuando: a) alcanzada la finalidad prevista en estas Cláusulas; b) los Datos Personales dejen de ser necesarios o pertinentes para alcanzar la finalidad específica prevista en estas Cláusulas; c) finalizado el período de tratamiento; d) atendida la solicitud del Titular; y e) determinado por la ANPD, cuando haya violación a lo dispuesto en estas Cláusulas o en la Legislación Nacional.

21. Seguridad en el Tratamiento de los Datos

21.1. Las Partes deberán adoptar medidas de seguridad que garanticen protección a los Datos Personales objeto de la Transferencia Internacional de Datos regida por estas Cláusulas, incluso después de su finalización.

21.2. Las Partes informarán, en la Sección III, las Medidas de Seguridad adoptadas, considerando la naturaleza de la información tratada, las características específicas y la finalidad del tratamiento, el estado actual de la tecnología y los riesgos para los derechos de los Titulares, especialmente en el caso de datos personales sensibles y de niños y adolescentes.

21.3. Las Partes deberán realizar los esfuerzos necesarios para adoptar medidas periódicas de evaluación y revisión con el fin de mantener un nivel de seguridad adecuado a las características del tratamiento de datos.

22. Legislación del País Receptor de los Datos

22.1. El Importador declara que no ha identificado leyes o prácticas administrativas del país receptor de los Datos Personales que le impidan cumplir con las obligaciones asumidas en estas Cláusulas.

22.2. Sobreviniendo un cambio normativo que altere esta situación, el Importador notificará, de inmediato, al Exportador para evaluar la continuidad del contrato.

23. Incumplimiento de las Cláusulas por el Importador

23.1. Habiendo violación de las salvaguardas y garantías previstas en estas Cláusulas o la imposibilidad de su cumplimiento por el Importador, el Exportador deberá ser comunicado de inmediato, exceptuando lo dispuesto en el ítem 19.1.

23.2. Recibida la comunicación de que trata el ítem 23.1 o verificado el incumplimiento de estas Cláusulas por el Importador, el Exportador adoptará las medidas pertinentes para asegurar la protección de los derechos de los Titulares y la conformidad de la Transferencia Internacional de Datos con la Legislación Nacional y las presentes Cláusulas, pudiendo, según el caso: a) suspender la Transferencia Internacional de Datos; b) solicitar la devolución de los Datos Personales, su transferencia a un tercero, o su eliminación; y c) rescindir el contrato.

24. Elección del Foro y Jurisdicción

24.1. Se aplica a estas Cláusulas la legislación brasileña y cualquier controversia entre las Partes derivada de estas Cláusulas será resuelta ante los tribunales competentes de Brasil, observado, si es el caso, el foro elegido por las Partes en la Sección IV.

24.2. Los Titulares pueden presentar acciones judiciales contra el Exportador o el Importador, conforme a su elección, ante los tribunales competentes en Brasil, inclusive en aquellos localizados en el lugar de su residencia.

24.3. De común acuerdo, las Partes podrán recurrir al arbitraje para resolver los conflictos derivados de estas Cláusulas, siempre que se realice en Brasil y conforme a las disposiciones de la Ley de Arbitraje.