1. Objeto

1. O presente Acordo de Tratamento de Dados Pessoais ("DPA" - Data Protection Agreement) é parte integrante do Contrato de Prestação de Serviços (“Contrato”), ambos atualizados periodicamente, ou de outro acordo aplicável entre a E-goi, Lda (adiante “E-goi”) e o “Cliente” que adquire os Serviços da E-goi, em conjunto doravante designadas como “Partes”.

2. Todos os termos não definidos neste Acordo de Processamento de Dados terão os significados estabelecidos no Glossário do Contrato. Para que se evite dúvidas, todas as referências ao “Contrato” incluirão este Acordo de Processamento de Dados (quando aplicável), conforme definido neste instrumento.

3. A E-goi adere a protocolos internacionais de privacidade de dados e envidará todos os esforços e recursos para que os dados pessoais e institucionais dos indivíduos que interajam com a E-goi, quer diretamente (como utilizadores do sistema), quer indiretamente (como destinatários), seja utilizada de forma adequada e responsável, e em completo respeito pelo Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016.

2. Definições

1. As definições seguintes têm, no âmbito do presente acordo, o alcance que lhes é conferido pelas alíneas constantes desta cláusula:

a. "Afiliada" significa uma entidade que, direta ou indiretamente, controla, é controlada por ou está sob Controle comum de uma entidade.

b. "Contrato" refere-se aos Termos de Uso da E-goi (em https://bo.egoiapp.com/legal/egoi-terms) ou a outro contrato escrito ou digital que reja o fornecimento do Serviço ao Cliente, conforme esses termos ou contratos venham a ser atualizados periodicamente.

c. "Controle" significa propriedade, voto ou interesse semelhante representando 50% (cinquenta por cento) ou mais dos interesses totais então em circulação da entidade em questão. O termo "Controlado" deve ser interpretado em conformidade.

d. “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável («titular dos dados»); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente.

e. "Dados do Cliente" refere-se a dados pessoais que a E-goi processe em nome do Cliente por meio do Serviço, conforme descrito mais especificamente neste Acordo de Processamento de Dados.

f. “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados;

g. “Responsável pelo tratamento”, “Data Controller” ou “Controlador”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais;

h. “Subcontratante”, “Data Processor” ou “Operador”, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento destes;

i. “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e explícita, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

j. “Violação de dados pessoais”, uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento;

k. "Leis de Proteção de Dados" refere-se a todos os regulamentos e leis de proteção de dados aplicáveis ao processamento de uma parte dos Dados do Cliente nos termos do Contrato, inclusive, quando aplicável, as Leis Europeias de Proteção de Dados (incluindo o RGPD) e as Leis Não Europeias de Proteção de Dados (incluindo o LGPD).

2. As definições inexistentes no Contrato e utilizados no presente Anexo têm o significado dado pelo Regulamento (UE) 2016/679.

3. Funções e Responsabilidades das Partes

1. As Partes reconhecem e concordam que, no âmbito do tratamento de Dados do Cliente, a E-goi atua como Subcontratante em nome do Cliente (seja este o Responsável pelo Tratamento ou outro Subcontratante), salvo disposição em contrário prevista no Contrato ou em qualquer Anexo aplicável.

4. Detalhes do tratamento

1. O tratamento dos dados pessoais pela E-goi (Subcontratante) nos termos do Contrato e do presente DPA incidirá apenas e será efetuado na estrita observância do teor das seguintes alíneas:

a. Objeto do tratamento: prestação de serviços, objeto do Contrato.

b. Duração do tratamento: os dados pessoais serão tratados pelo período correspondente à duração da prestação dos serviços que são objeto do Contrato, acrescido do período de tempo necessário para o exercício da totalidade dos direitos e execução das obrigações dele emergentes.

c. Natureza do tratamento: todas as operações de tratamento inerentes ao exercício dos direitos e à execução das obrigações objeto do Contrato, e à gestão da respetiva relação contratual.

d. Categorias de Titulares de Dados: Contactos (ou seja, subscritores do Cliente e outras pessoas sobre as quais o Cliente tenha fornecido informações ou que tenham interagido com o Cliente por meio do Serviço).

e. Categorias de Dados Pessoais: O Cliente poderá carregar, enviar ou fornecer determinados dados pessoais ao Serviço, cuja extensão seja normalmente determinada e controlada pelo Cliente a seu critério exclusivo, podendo incluir, mas não se limitando, aos seguintes tipos de dados pessoais: Dados de identificação e contacto (e.g. nome, data de nascimento, género, geral, ocupação ou outras informações demográficas, endereço, título, informações de contacto, inclusive endereço de email); interesses ou preferências pessoais (inclusive histórico de compras, preferências de marketing e informações de perfil de mídia social disponíveis publicamente); Informações de TI (e.g. endereços IP, dados de utilização, dados de cookies, dados de navegação on-line, dados de localização, dados do navegador); informações financeiras (e.g. dados do cartão de crédito, dados da conta, informações de pagamento).

2. A E-goi nunca procederá à venda, empréstimo ou cedência de dados pessoais, de listas de contactos ou de quaisquer outros dados do Cliente e dos destinatários deste a terceiros, com exceção das situações em que se trate do cumprimento de uma solicitação/determinação judicial.

3. O conteúdo das listas de contactos do Cliente e das respetivas mensagens apenas poderá ser acedido e analisado pela E-goi na medida estritamente necessária à prestação do Serviço, nomeadamente para:

a. realizar operações de manutenção, assistência técnica ou resolução de problemas solicitadas ou autorizadas pelo Cliente;

b. assegurar a segurança, integridade, disponibilidade e correto funcionamento do Serviço; ou

c. investigar indícios concretos de utilização ilícita, abusiva ou contrária ao Contrato ou às políticas aplicáveis ao Serviço.

O acesso e a análise serão limitados aos dados e ao período estritamente necessários à finalidade que os justifica, realizados apenas por pessoal devidamente autorizado e sujeito a obrigações de confidencialidade, e registados sempre que tecnicamente aplicável.

Sempre que a análise não resulte de um pedido ou instrução específica do Cliente, a E-goi apenas a realizará quando tal seja objetivamente necessário para proteger o Serviço, os seus utilizadores ou terceiros, ou para verificar o cumprimento do Contrato, informando o Cliente sem demora injustificada, salvo quando essa comunicação possa comprometer a investigação, a segurança do Serviço ou seja proibida por lei.

A E-goi não utilizará o conteúdo das listas de contactos ou das mensagens do Cliente para finalidades próprias e autónomas, alheias à prestação do Serviço ou às instruções documentadas do Cliente, designadamente para fins comerciais ou publicitários próprios, criação de perfis para benefício da E-goi, enriquecimento de bases de dados próprias ou treino de modelos de inteligência artificial de utilização geral. Tal não impede o tratamento de Dados do Cliente através de funcionalidades de inteligência artificial, enriquecimento de dados, análise, segmentação ou outras funcionalidades disponibilizadas no âmbito do Serviço, desde que tais funcionalidades sejam utilizadas por opção ou segundo as instruções do Cliente e o tratamento seja realizado exclusivamente por conta deste, para as finalidades por ele determinadas e nos termos do Contrato.

4. A E-goi não procederá a qualquer modificação ou edição do conteúdo de mensagens ou listas de contactos do Cliente que se encontrem em conformidade com a Política de Uso Aceitável (em anexo a este contrato) sem o consentimento prévio e explícito do Cliente. Consideram-se não abrangidas por esta previsão, as situações que sejam meramente de correção automática da base de dados, endereços errados, e outras similares, no âmbito das quais a E-goi não necessita de qualquer consentimento.

5. Instruções de tratamento

1. A E-goi (Subcontratante) deve proceder ao tratamento de dados pessoais apenas mediante instruções documentadas do Cliente, salvo se for obrigada a fazê-lo pelo direito da União ou pelo direito do Estado-Membro a que esteja sujeita. Neste caso, a E-goi deve informar o Cliente desse requisito jurídico antes do tratamento, salvo se a lei o proibir por motivos importantes de interesse público. O Cliente pode dar instruções subsequentes ao longo de toda a duração do tratamento de dados pessoais. Estas instruções devem ser sempre documentadas.

2. As Partes concordam que o Contrato, incluindo este Acordo de Processamento de Dados, juntamente com a configuração do Cliente ou o uso de quaisquer configurações, variáveis, ou opções no Serviço (conforme o Cliente possa modificar de tempos em tempos) constituem as instruções completas e finais do Cliente para a E-goi em relação ao processamento dos Dados do Cliente.

3. A E-goi armazena os dados de registo e as informações estatísticas respeitantes aos destinatários que constem da lista de contactos do utilizador.

6. Conformidade do Cliente

1. O Cliente declara e garante que:

a. Está em conformidade e continuará a estar em conformidade com todas as leis aplicáveis, inclusive as Leis de Proteção de Dados, em relação ao processamento dos Dados do Cliente e instruções de processamento que emitam para a E-goi.

b. É Responsável pela Licitude do Tratamento e Direitos dos Titulares dos Dados.

c. Obteve e continuará a obter todos os consentimentos e direitos necessários de acordo com as Leis de Proteção de Dados para processar os Dados do Cliente para os objetivos descritos no Contrato.

2. O Cliente será o único responsável pela exatidão, qualidade e legalidade dos Dados do Cliente e os meios pelos quais os Dados do Cliente foram adquiridos.

3. Sem prejuízo da generalidade do exposto acima, o Cliente concorda que será responsável por estar em conformidade com todas as leis (inclusive as Leis de Proteção de Dados) aplicáveis a Campanhas (conforme definido no Contrato) ou outros conteúdos criados, enviados ou geridos por meio do Serviço, inclusive relacionados à obtenção de consentimentos (quando necessário) para enviar comunicações.

7. Legalidade das Instruções do Cliente

1. O Cliente assegurará que o processamento dos Dados do Cliente pela E-goi de acordo com as instruções do Cliente não levará a E-goi a violar leis, regulamentos ou regras aplicáveis, inclusive, sem limitação, as Leis de Proteção de Dados.

2. A E-goi notificará imediatamente o Cliente por escrito, a menos que esteja proibida de fazê-lo de acordo com as Leis Europeias de Proteção de Dados, se tomar conhecimento ou acreditar que alguma instrução de processamento de dados do Cliente viola as Leis Europeias de Proteção de Dados.

3. Quando o Cliente atuar como Subcontratante em nome de um Responsável pelo Tratamento terceiro (ou outro intermediário do Responsável pelo Tratamento final), o Cliente garante que suas instruções de processamento, conforme estabelecido no Contrato e neste Acordo de Processamento de Dados, inclusive suas autorizações para a E-goi para a nomeação de Subcontratantes de acordo com este Acordo de Processamento de Dados, foram autorizadas pelo respectivo Responsável pelo Tratamento.

4. O Cliente atuará como o único ponto de contacto da E-goi e a E-goi não precisará de interagir diretamente com (nem fornecer notificações a ou providenciar autorizações de) Responsáveis pelo Tratamento terceiros sem ser por meio do fornecimento regular do Serviço na medida determinada pelo Contrato. O Cliente será responsável por encaminhar todas as notificações recebidas nos termos deste Acordo de Processamento de Dados ao respectivo Responsável pelo Tratamento, quando for o caso.

8. Confidencialidade

1. A E-goi assegurará que as pessoas autorizadas pela E-goi a processar os Dados do Cliente (inclusive a sua equipa, agentes e subcontratados) estejam sob a devida obrigação (contratual ou legal) de confidencialidade.

9. Segurança do tratamento

1. A E-goi implementa medidas técnicas e organizativas robustas para garantir a segurança dos dados pessoais, assegurando um nível de proteção adequado ao risco associado ao tratamento dos dados. Estas medidas incluem, mas não se limitam, a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados aos dados (violação de dados pessoais). Adicionalmente, a E-goi adota práticas avançadas de Segurança da Informação, alinhadas com normas e boas práticas reconhecidas internacionalmente, para mitigar os riscos relacionados com a confidencialidade, integridade e disponibilidade dos dados pessoais. Para mais detalhes sobre a abordagem da E-goi à Segurança da Informação, incluindo medidas específicas e políticas aplicáveis, consulte a Política de Segurança (em anexo a este contrato), que detalha as práticas e os compromissos da E-goi para proteger os dados pessoais tratados no âmbito do Serviço.

2. A E-goi só deve conceder acesso aos dados pessoais objeto de tratamento aos seus Colaboradores na medida estritamente necessária para a execução, gestão e acompanhamento do contrato. Tal acesso poderá ocorrer, de forma controlada e justificada, nos seguintes casos: resolução de incidentes técnicos ou operacionais reportados pelo Cliente, suporte à configuração e utilização da Plataforma, ou realização de auditorias internas e ações de monitorização de segurança para garantir a integridade do serviço. Esse acesso será efetuado exclusivamente por equipas autorizadas (nomeadamente Suporte Técnico, Customer Success e Engenharia de Produto), sendo todas as atividades realizadas nas contas dos Clientes validadas e monitorizadas. Nenhuma informação será alterada sem consentimento prévio do Cliente, exceto em situações de manutenção crítica ou correção de erros. Todos os intervenientes estão sujeitos a acordos de confidencialidade e às obrigações legais de proteção de dados previstas no RGPD e demais legislação aplicável.

3. O Cliente concorda que, salvo conforme disposto neste Acordo de Processamento de Dados, o Cliente é responsável pelo uso seguro do Serviço, inclusive pela proteção das suas credenciais de autenticação de conta, proteção da segurança dos Dados do Cliente quando em trânsito de e para o Serviço, e pelas devidas medidas de criptografia segura ou back-up seguro dos Dados do Cliente carregados no Serviço.

10. Transferências internacionais

1. Os servidores de armazenamento e processamento de dados da E-goi encontram-se localizados em Portugal, dentro do Espaço Económico Europeu (EEE). Não armazenamos dados fora do EEE. Consequentemente, as informações do Cliente e dos seus Contactos não serão transferidas ou processadas fora do EEE pela E-goi, sendo sempre tratadas de forma segura e em conformidade com este Acordo de Processamento de Dados e com a legislação de proteção de dados aplicável.

2. No entanto, a E-goi poderá recorrer a subcontratantes para a prestação de determinados serviços, conforme detalhado posteriormente neste Acordo. Estes subcontratantes podem processar dados em países fora do EEE. Em situações em que seja necessária a transferência de dados pessoais para fora do EEE, a E-goi compromete-se a garantir que são implementadas todas as salvaguardas exigidas pelas leis de proteção de dados aplicáveis, incluindo, mas não se limitando às referidas nos artigos 44º a 47º do RGPD.

3. A E-goi monitorizará continuamente a conformidade destas transferências internacionais com os requisitos das Leis Europeias de Proteção de Dados (incluindo o RGPD) e as Leis Não Europeias de Proteção de Dados (incluindo o LGPD) e outros regulamentos aplicáveis, garantindo que os dados do Cliente são sempre protegidos com o mais elevado nível de segurança e privacidade.

11. Recurso a Subcontratantes

1. A plataforma E-goi está desenhada de forma a controlar todos os fluxos de dados, para garantir um modelo “privacy by design”, incluindo medidas técnicas e organizativas que garantem a minimização de riscos e o cumprimento das Leis de Proteção de Dados. Os dados do Cliente não são transferidos para fora dos sistemas controlados pela E-goi, exceto em casos específicos, nos quais seja estritamente necessário recorrer a Subcontratantes.

2. O Cliente concorda que a E-goi poderá contratar Subcontratantes para processar Dados Pessoais fornecidos pelo Cliente em seu nome, de acordo com as instruções documentadas do Cliente, da E-goi e as Leis de Proteção de Dados. Os Subcontratantes contratados pela E-goi estão sujeitos a obrigações contratuais de confidencialidade e proteção de dados que são, no mínimo, tão rigorosas quanto as obrigações estabelecidas neste Acordo de Processamento de Dados.

3. A E-goi notificará o Cliente por RSS sobre quaisquer alterações a este documento, incluindo a inclusão de novos Subcontratantes, com a brevidade possível, antes ou após autorizar tais novos Subcontratantes a processar os Dados Pessoais. O Cliente terá a possibilidade, em caso de objeção justificada por uma violação das Leis de Proteção de Dados, de rescindir o Contrato dentro do prazo de trinta (30) dias após aquela notificação.

4. O conjunto de Subcontratantes atualmente contratados pela E-goi e autorizados pelo Cliente para proceder ao tratamento de dados pessoais bem como para outros fins sem processar dados pessoais é o seguinte:

12. Assistência ao Responsável pelo Tratamento

1. A E-goi deve prestar assistência ao Cliente no cumprimento das suas obrigações de resposta aos pedidos de exercício de direitos apresentados pelos titulares dos dados, tendo em conta a natureza do tratamento. No cumprimento das obrigações que lhe incumbem, a E-goi deve cumprir as instruções do Cliente.

2. Como parte do Serviço, a E-goi fornece ao Cliente vários recursos de autoatendimento que o Cliente poderá usar para recuperar, corrigir, excluir ou restringir o uso dos Dados do Cliente, auxiliando-o em relação às suas obrigações (ou do seu Responsável pelo Tratamento terceiro) de acordo com as Leis de Proteção de Dados em relação a responder a solicitações dos titulares de dados por meio da conta do Cliente sem nenhum custo adicional.

3. Além disso, considerada a natureza do processamento, a E-goi dará a assistência adicional necessária ao Cliente na medida do possível para que o Cliente (ou seu Responsável pelo Tratamento terceiro) cumpra suas obrigações de proteção de dados em relação aos direitos do titular dos dados nos termos das Leis de Proteção de Dados.

4. Caso essa solicitação seja feita diretamente à E-goi, a E-goi não responderá a essa comunicação diretamente, salvo conforme adequado (por exemplo, para direcionar o titular dos dados a entrar em contacto com o Cliente) ou determinado por lei, sem a autorização prévia do Cliente. Se a E-goi for obrigada a atender a essa solicitação, a E-goi, quando o Cliente for identificado ou identificável a partir da solicitação, notificará imediatamente o Cliente e fornecerá ao Cliente uma cópia da solicitação, a menos que a E-goi seja legalmente proibida de fazê-lo.

5. Para além da obrigação que incumbe à E-goi de prestar assistência ao Cliente nos termos anteriores, a E-goi presta assistência ao Cliente no sentido de assegurar o cumprimento das obrigações previstas nos artigos 32ª a 36ª do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor da E-goi.

13. Notificação de Violação de Dados Pessoais

1. Em caso de violação de dados pessoais relativa a dados tratados pela E-goi, a E-goi deve notificar o Cliente no prazo máximo de 72 horas após ter tomado conhecimento da violação. Esta notificação deve conter, pelo menos, os seguintes elementos:

a. Uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados e de registos de dados em causa);

b. Os dados de um ponto de contacto onde possam ser obtidas mais informações relativas à violação de dados pessoais;

c. As consequências prováveis da violação e as medidas adotadas ou propostas para a reparar, incluindo para atenuar os seus eventuais efeitos negativos.

2. Caso, e na medida em que, não seja possível comunicar todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis, devendo outras informações, à medida que fiquem disponíveis, ser fornecidas posteriormente sem demora injustificada.

3. A notificação ou resposta da E-goi a um Incidente de Segurança nos termos desta cláusula não será interpretada como confirmação pela E-goi de falha ou responsabilidade em relação ao Incidente de Segurança.

4. É responsabilidade do Cliente notificar o titular de dados, as autoridades legais e/ou outras entidades, conforme a legislação aplicável.

14. Exclusão ou Devolução de Dados na Rescisão

1. Após a cessação ou expiração do Contrato, a E-goi, de acordo com a escolha do Cliente, devolverá ao Cliente todos os Dados do Cliente tratados no âmbito da prestação do Serviço ou eliminará esses mesmos Dados, incluindo todas as cópias existentes sob a sua posse ou controlo. Caso o Cliente não comunique a sua escolha até à data de cessação do Contrato, a E-goi procederá à eliminação dos Dados do Cliente, sem prejuízo da disponibilização ao Cliente dos mecanismos de exportação aplicáveis durante o período e nas condições previstas no Contrato.

2. A eliminação dos Dados do Cliente pela E-goi será realizada no prazo máximo de 30 dias após a cessação do Contrato ou, quando aplicável, após a conclusão da devolução dos dados ao Cliente.

3. Os Dados do Cliente que permaneçam temporariamente em sistemas de backup, por impossibilidade técnica de eliminação individualizada sem comprometer a integridade ou a segurança desses sistemas, serão:

a) isolados e protegidos através de medidas técnicas e organizativas adequadas;

b) excluídos de qualquer tratamento adicional, salvo quando estritamente necessário para efeitos de recuperação em caso de incidente;

c) em caso de reposição de um backup, novamente sujeitos ao processo de eliminação previsto na presente cláusula; e

d) eliminados definitivamente através do ciclo normal e automático de substituição dos backups, no prazo máximo de 90 dias após a eliminação dos Dados originais.

4. Concluído o processo de devolução ou eliminação, incluindo a eliminação definitiva dos dados existentes em sistemas de backup, a E-goi enviará automaticamente ao Cliente por email uma notificação que confirma a conclusão do processo, sem necessidade de solicitação prévia.

5. A E-goi apenas poderá conservar Dados do Cliente para além dos prazos previstos na presente cláusula quando tal conservação seja exigida pelo Direito da União Europeia ou pela legislação nacional aplicável. Nesse caso, a E-goi informará o Cliente, salvo proibição legal, sobre os dados conservados, o respetivo fundamento jurídico e o período de conservação aplicável, limitando o seu tratamento ao estritamente necessário para o cumprimento dessa obrigação legal.

6. As obrigações previstas na presente cláusula aplicam-se igualmente aos subcontratantes ulteriores envolvidos no tratamento dos Dados do Cliente, devendo a E-goi assegurar que estes procedem à respetiva devolução ou eliminação nos mesmos termos.

15. Relatórios e Direitos de Auditoria de Segurança

1. A E-goi disponibilizará ao Cliente todas as informações necessárias para demonstrar conformidade com este Acordo de Processamento de Dados e facilitará e contribuirá para auditorias, inclusive inspeções pelo Cliente ou por outro auditor por este mandatado para avaliar a conformidade com este Acordo de Processamento de Dados.

2. O Cliente reserva-se o direito de, mediante aviso prévio de dez dias úteis, e durante as horas normais de expediente, proceder a auditorias nas instalações da E-goi, diretamente ou através de um seu representante, com o objetivo de verificar o cumprimento das obrigações constantes do presente Contrato e recolher os elementos suscetíveis de introduzir melhorias na atividade desenvolvida por ambas as Partes.

3. As auditorias referidas no número anterior, serão acompanhadas por um ou vários funcionários/colaboradores da E-goi, cujo o objeto será sempre o cumprimento do Contrato, pelo que serão adotadas as medidas necessárias para que não ocorram incidentes que coloquem em causa a segurança, privacidade e propriedade industrial de Terceiros.

4. Se na sequência de uma auditoria forem constatados incumprimentos das obrigações constantes do Contrato, o Segundo Outorgante notificará por escrito a E-goi para que no prazo previsto no Contrato faça cessar o incumprimento, sob pena de exercer o direito de resolução.

5. O Cliente reconhece e concorda que exercerá seus direitos de auditoria nos termos deste Acordo de Processamento de Dados e todos os direitos de auditoria concedidos pelas Leis de Proteção de Dados.Os clientes podem enviar suas solicitações preenchendo um pedido de contacto (em https://www.e-goi.com/pt/contactos/).

16. Termos Específicos da Jurisdição

1. Se a E-goi processar os Dados do Cliente originados e protegidos pelas Leis de Proteção de Dados numa das jurisdições listadas no Anexo A, os termos especificados no Anexo A em relação à(s) jurisdição(ões) aplicável(is) (“Termos Específicos da Jurisdição”) aplicam-se além dos termos deste Acordo de Processamento de Dados.

2. Em caso de conflito ou ambiguidade entre os Termos Específicos da Jurisdição e outros termos deste Acordo de Processamento de Dados, os Termos Específicos da Jurisdição aplicáveis terão precedência, mas somente na medida da aplicabilidade dos Termos Específicos da Jurisdição à E-goi.

17. Limitação de Responsabilidade

1. A responsabilidade de cada Parte e de todas as suas Afiliadas assumida em conjunto no agregado decorrente deste Acordo de Processamento de Dados estará sujeita às exclusões e limitações de responsabilidade estabelecidas no Contrato.

18. Ações Contra a E-goi

1. Todas as ações contra a E-goi nos termos deste Acordo de Processamento de Dados ou a isso relacionadas serão propostas exclusivamente pela entidade Cliente que seja parte no Contrato.

19. Direitos de Proteção de Dados

1. Em hipótese alguma nenhuma das partes limitará sua própria responsabilidade em relação aos direitos de proteção de dados de nenhuma pessoa física nos termos deste Acordo de Processamento de Dados ou de outra forma.

20. Vigência do Acordo de Processamento de Dados

1. Este Acordo de Processamento de Dados permanecerá em vigor enquanto a E-goi realizar operações de processamento de Dados do Cliente em nome do Cliente ou até a rescisão do Contrato (e que todos os Dados do Cliente tenham sido devolvidos ou excluídos).

21. Substituição de Contratos Anteriores

1. As partes concordam que este Acordo de Processamento de Dados substituirá qualquer contrato de processamento de dados existente ou documento semelhante que as partes possam ter celebrado anteriormente com relação ao Serviço.

22. Precedência de Documentos

1. Em caso de conflito ou inconsistência entre este Acordo de Processamento de Dados e os Termos de Uso da E-goi, as disposições dos seguintes documentos (em ordem de precedência) prevalecerão: (i) Acordo de Processamento de Dados; (ii) Contrato; (iii) Termos de Uso da E-goi.

23. Continuidade do Contrato

1. Salvo em caso de alterações feitas por este Acordo de Processamento de Dados, o Contrato permanece inalterado e em pleno vigor e efeito.

24. Direitos de Terceiros

1. Pessoas que não sejam parte neste Acordo de Processamento de Dados ou seus respectivos sucessores e cessionários autorizados não terão direito de aplicar nenhum dos termos deste Acordo de Processamento de Dados.

25. Lei Aplicável e Jurisdição

1. Este Acordo de Processamento de Dados será regido e interpretado de acordo com as disposições legais e jurisdicionais vigentes no Contrato, a menos que de outra forma determinado pelas Leis de Proteção de Dados aplicáveis.

26. Dúvidas e Contacto

1. Caso o Cliente tenha alguma dúvida ou preocupação relativamente ao presente Acordo de Processamento de Dados ou às práticas de privacidade da E-goi, poderá entrar em contacto com a E-goi através dos seguintes meios:

a. Formulário de contacto: https://www.e-goi.com/pt/contactos/

b. E-mail: dpo@e-goi.com

c. Endereço postal: E-goi, Av. Menéres, 840 4450-190 Matosinhos Portugal

2. A E-goi compromete-se a responder a todas as solicitações e preocupações apresentadas pelo Cliente em conformidade com as leis de proteção de dados aplicáveis, garantindo uma resposta célere e adequada às questões levantadas.

Anexo A – Termos Específicos da Jurisdição

Brasil

Seção I - Informações Gerais

1. Identificação das Partes

1.1. Pelo presente instrumento contratual, o Exportador e o Importador (doravante, Partes), abaixo identificados, resolvem adotar as cláusulas-padrão contratuais (doravante Cláusulas) aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), para reger a Transferência Internacional de Dados descrita na Cláusula 2, em conformidade com as disposições da Legislação Nacional.

Nome: O Cliente, conforme indicado no Contrato ou nos dados da Conta E-goi.

Qualificação: Controlador

Endereço principal: O Cliente, conforme indicado no Contrato ou nos dados de faturação na Conta E-goi.

Endereço de e-mail: O Cliente, conforme indicado no Contrato ou nos dados de faturação na Conta E-goi.

Contato para o Titular: O Cliente, conforme indicado no Contrato ou nos dados da Conta E-goi.

Outras informações: (X) Exportador/Controlador) ( ) Exportador/Operador)

Nome: E-goi, Lda

Qualificação: Operador

Endereço principal: Conforme indicado no Contrato

Endereço de e-mail: Conforme indicado no Contrato

Contato para o Titular: Conforme indicado no Contrato

Outras informações: ( ) Importador/Controlador (X) Importador/Operador

2. Objeto

2.1. Estas Cláusulas se aplicam às Transferências Internacionais de Dados do Exportador para o Importador, conforme a descrição abaixo.

Descrição da transferência internacional de dados: Conforme indicado no Contrato.

Principais finalidades da transferência: Conforme indicado no Contrato.

Categorias de dados pessoais transferidos: Conforme indicado no Contrato.

Período de armazenamento dos dados: Conforme indicado no Contrato.

Outras informações: Não aplicável

3. Transferências Posteriores

3.1. O Importador poderá realizar Transferência Posterior dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas nas hipóteses e conforme as condições descritas abaixo e desde que observadas as disposições da Cláusula 18.

Principais finalidades da transferência: Conforme indicado no Contrato.

Categorias de dados pessoais transferidos: Conforme indicado no Contrato.

Período de armazenamento dos dados:Conforme indicado no Contrato.

Outras informações: Não aplicável

4. Responsabilidades das Partes

4.1. Sem prejuízo do dever de assistência mútua e das obrigações gerais das Partes, caberá à Parte Designada abaixo, na condição de Controlador, a responsabilidade pelo cumprimento das seguintes obrigações previstas nestas Cláusulas:

a) Responsável por publicar o documento previsto na Cláusula 14; (X) Exportador ( ) Importador

b) Responsável por atender às solicitações de titulares de que trata a CLÁUSULA 15: (X) Exportador ( ) Importador

c) Responsável por realizar a comunicação de incidente de segurança prevista na Cláusula 16: (X) Exportador ( ) Importador

4.2. Para os fins destas Cláusulas, verificado, posteriormente, que a Parte Designada na forma do item 4.1. atua como Operador, o Controlador permanecerá responsável:

a) pelo cumprimento das obrigações previstas nas Cláusulas 14, 15 e 16 e demais disposições estabelecidas na Legislação Nacional, especialmente em caso de omissão ou descumprimento das obrigações pela Parte Designada;

b) pelo atendimento às determinações da ANPD; e

c) pela garantia dos direitos dos Titulares e pela reparação dos danos causados, observado o disposto na Cláusula 17.

Seção II - Cláusulas Mandatórias

5. Finalidade

5.1. Estas Cláusulas se apresentam como mecanismo viabilizador do fluxo internacional seguro de dados pessoais, estabelecem garantias mínimas e condições válidas para a realização de Transferência Internacional de Dados e visam garantir a adoção das salvaguardas adequadas para o cumprimento dos princípios, dos direitos do Titular e do regime de proteção de dados previstos na Legislação Nacional.

6. Definições

6.1. Para os fins destas Cláusulas, serão consideradas as definições do art. 5° da Lei nº 13.709, de 14 de agosto de 2018, e do art. 3º do Regulamento de Transferência Internacional de Dados Pessoais, sem prejuízo de outros atos normativos expedidos pela ANPD. As Partes concordam, ainda, em considerar os termos e seus respectivos significados, conforme exposto a seguir:

a) Agentes de tratamento: o controlador e o operador;

b) ANPD: Autoridade Nacional de Proteção de Dados;

c) Cláusulas: as cláusulas-padrão contratuais aprovadas pela ANPD, que integram as Seções I, II e III;

d) Contrato Coligado: instrumento contratual firmado entre as Partes ou, pelo menos, entre uma destas e um terceiro, incluindo um Terceiro Controlador, que possua propósito comum, vinculação ou relação de dependência com o contrato que rege a Transferência Internacional de Dados;

e) Controlador: Parte ou terceiro ("Terceiro Controlador") a quem compete as decisões referentes ao tratamento de Dados Pessoais;

f) Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;

g) Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural; h) Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

i) Exportador: agente de tratamento, localizado no território nacional ou em país estrangeiro, que transfere dados pessoais para Importador; j) Importador: agente de tratamento, localizado em país estrangeiro ou que seja organismo internacional, que recebe dados pessoais transferidos por Exportador;

k) Legislação Nacional: conjunto de dispositivos constitucionais, legais e regulamentares brasileiros a respeito da proteção de Dados Pessoais, incluindo a Lei nº 13.709, de 14 de agosto de 2018, o Regulamento de Transferência Internacional de Dados e outros atos normativos expedidos pela ANPD;

l) Lei de Arbitragem: Lei nº 9.307, de 23 de setembro de 1996;

m) Medidas de Segurança: medidas técnicas e administrativas adotadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

n) Órgão de Pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;

o) Operador: Parte ou terceiro, incluindo um Subcontratado, que realiza o tratamento de Dados Pessoais em nome do Controlador;

p) Parte Designada: Parte do contrato designada, nos termos da Cláusula 4 ("Opção A"), para cumprir, na condição de Controlador, obrigações específicas relativas à transparência, direitos dos Titulares e comunicação de incidentes de segurança; q) Partes: Exportador e Importador;

r) Solicitação de Acesso: solicitação de atendimento obrigatório, por força de lei, regulamento ou determinação de autoridade pública, para conceder acesso aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas;

s) Subcontratado: agente de tratamento contratado pelo Importador, sem vínculo com o Exportador, para realizar tratamento de Dados Pessoais após uma Transferência Internacional de Dados;

t) Terceiro Controlador: Controlador dos Dados Pessoais que fornece instruções por escrito para a realização, em seu nome, da Transferência Internacional de Dados entre Operadores regida por estas Cláusulas, na forma da Cláusula 4 ("Opção B");

u) Titular: pessoa natural a quem se referem os Dados Pessoais que são objeto da Transferência Internacional de Dados regida por estas Cláusulas;

v) Transferência: modalidade de tratamento por meio da qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a Dados Pessoais a outro agente de tratamento;

w) Transferência Internacional de Dados: transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro; e

x) Transferência Posterior: transferência Internacional de Dados, originada de um Importador, e destinada a um terceiro, incluindo um Subcontratado, desde que não configure Solicitação de Acesso.

7. Legislação Aplicável e Fiscalização da ANPD

7.1. A Transferência Internacional de Dados objeto das presentes Cláusulas submete-se à Legislação Nacional e à fiscalização da ANPD, incluindo o poder de aplicar medidas preventivas e sanções administrativas a ambas as Partes, conforme o caso, bem como o de limitar, suspender ou proibir as transferências internacionais decorrentes destas Cláusulas ou de um Contrato Coligado.

8. Interpretação

8.1. Qualquer aplicação destas Cláusulas deve ocorrer de acordo com os seguintes termos:

a) estas Cláusulas devem sempre ser interpretadas de forma mais favorável ao Titular e de acordo com as disposições da Legislação Nacional;

b) em caso de dúvida sobre o significado de termos destas Cláusulas, aplica-se o significado que mais se alinha com a Legislação Nacional; Version Date: 2024/12/20 15/21

c) nenhum item destas Cláusulas, incluindo-se aqui um Contrato Coligado e as disposições previstas na Seção IV, poderá ser interpretado com o objetivo de limitar ou excluir a responsabilidade de qualquer uma das Partes em relação a obrigações previstas na Legislação Nacional; e

d) as disposições das Seções I e II prevalecem em caso de conflito de interpretação com Cláusulas adicionais e demais disposições previstas nas Seções III e IV deste instrumento ou em Contratos Coligados.

9. Possibilidade de Adesão de Terceiros

9.1. Em comum acordo entre as Partes, é possível a um agente de tratamento aderir a estas Cláusulas na condição de Exportador ou de Importador, por meio do preenchimento e assinatura de documento escrito, que integrará o presente instrumento.

9.2. A parte aderente terá os mesmos direitos e obrigações das Partes originárias, conforme a posição assumida de Exportador ou Importador e de acordo com a categoria de agente de tratamento correspondente.

10. Obrigações Gerais das Partes

10.1. As Partes se comprometem a adotar e, quando necessário, demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das disposições destas Cláusulas e da Legislação Nacional e, inclusive, da eficácia dessas medidas e, em especial:

a) utilizar os Dados Pessoais somente para as finalidades específicas descritas na Cláusula 2, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades, observadas, em qualquer caso, as limitações, garantias e salvaguardas previstas nestas Cláusulas;

b) garantir a compatibilidade do tratamento com as finalidades informadas ao Titular, de acordo com o contexto do tratamento;

c) limitar o tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de Dados Pessoais;

d) garantir aos Titulares, observado o disposto na Cláusula 4.

(d.1.) informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

(d.2.) consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus Dados Pessoais; e

(d.3.) a exatidão, clareza, relevância e atualização dos Dados Pessoais, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento; e) adotar as medidas de segurança apropriadas e compatíveis com os riscos envolvidos na Transferência Internacional de Dados regida por estas Cláusulas;

f) não realizar tratamento de Dados Pessoais para fins discriminatórios ilícitos ou abusivos; g) assegurar que qualquer pessoa que atue sob sua autoridade, inclusive subcontratados ou qualquer agente que com ele colabore, de forma gratuita ou onerosa, realize tratamento de dados apenas em conformidade com suas instruções e com o disposto nestas Cláusulas; e

h) manter registro das operações de tratamento dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, e apresentar a documentação pertinente à ANPD, quando solicitado.

11. Dados Pessoais Sensíveis

11.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais sensíveis, as Partes aplicarão salvaguardas adicionais, incluindo medidas de segurança específicas e proporcionais aos riscos da atividade de tratamento, à natureza específica dos dados e aos interesses, direitos e garantias a serem protegidos, conforme descrito na Seção III.

12. Dados Pessoais de Crianças e Adolescentes

12.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais de crianças e adolescentes, as Partes aplicarão salvaguardas adicionais, incluindo medidas que assegurem que o tratamento seja realizado em seu melhor interesse, nos termos da Legislação Nacional e dos instrumentos pertinentes de direito internacional.

13. Uso Legal dos Dados

13.1. O Exportador garante que os Dados Pessoais foram coletados, tratados e transferidos para o Importador de acordo com a Legislação Nacional.

14. Transparência

14.1. A Parte Designada publicará, em sua página na Internet, documento contendo informações facilmente acessíveis redigidas em linguagem simples, clara e precisa sobre a realização da Transferência Internacional de Dados, incluindo, pelo menos, informações sobre:

a) a forma, a duração e a finalidade específica da transferência internacional;

b) o país de destino dos dados transferidos;

c) a identificação e os contatos da Parte Designada;

d) o uso compartilhado de dados pelas Partes e a finalidade;

e) as responsabilidades dos agentes que realizarão o tratamento;

f) os direitos do Titular e os meios para o seu exercício, incluindo canal de fácil acesso disponibilizado para atendimento às suas solicitações e o direito de peticionar contra o Controlador perante a ANPD; e

g) Transferências Posteriores, incluindo as relativas aos destinatários e à finalidade da transferência.

14.2. O documento referido no item 14.1. poderá ser disponibilizado em página específica ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade ou documento equivalente.

14.3. A pedido, as Partes devem disponibilizar, gratuitamente, ao Titular uma cópia destas Cláusulas, observados os segredos comercial e industrial.

14.4. Todas as informações disponibilizadas aos titulares, nos termos destas Cláusulas, deverão ser redigidas na língua portuguesa.

15. Direitos do Titular

15.1. O Titular tem direito a obter da Parte Designada, em relação aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, a qualquer momento, e mediante requisição, nos termos da Legislação Nacional:

a) confirmação da existência de tratamento;

b) acesso aos dados;

c) correção de dados incompletos, inexatos ou desatualizados;

d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com estas Cláusulas e com o disposto na Legislação Nacional;

e) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da ANPD, observados os segredos comercial e industrial;

f) eliminação dos Dados Pessoais tratados com o consentimento do Titular, exceto nas hipóteses previstas na Cláusula 20;

g) informação das entidades públicas e privadas com as quais as Partes realizaram uso compartilhado de dados;

h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

i) revogação do consentimento mediante procedimento gratuito e facilitado, ratificados os tratamentos realizados antes do requerimento de eliminação;

j) revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade; e

k) informações a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

15.2. O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nestas Cláusulas ou na Legislação Nacional.

15.3. O prazo para atendimento às solicitações previstas nesta Cláusula e no item 14.3. é de 15 (quinze) dias contados da data do requerimento do titular, ressalvada a hipótese de prazo distinto estabelecido em regulamentação específica da ANPD.

15.4. Caso a solicitação do Titular seja direcionada à Parte não designada como responsável pelas obrigações previstas nesta Cláusula ou no item 14.3., a Parte deverá:

a) informar ao Titular o canal de atendimento disponibilizado pela Parte Designada; ou

b) encaminhar a solicitação para a Parte Designada o quanto antes, a fim de viabilizar a resposta no prazo previsto no item 15.3.

15.5. As Partes deverão informar, imediatamente, aos Agentes de Tratamento com os quais tenham realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.

15.6. As Partes devem promover assistência mútua com a finalidade de atender às solicitações dos Titulares.

16. Comunicação de Incidente de Segurança

16.1. A Parte Designada deverá comunicar à ANPD e aos Titulares, no prazo de 3 (três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, observado o disposto na Legislação Nacional.

16.2. O Importador deve manter o registro de incidentes de segurança nos termos da Legislação Nacional.

17. Responsabilidade e Ressarcimento de Danos

17.1. A Parte que, em razão do exercício da atividade de tratamento de Dados Pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação às disposições destas Cláusulas e da Legislação Nacional, é obrigada a repará-lo.

17.2. O Titular poderá pleitear a reparação do dano causado por quaisquer das Partes em razão da violação destas Cláusulas.

17.3. A defesa dos interesses e dos direitos dos Titulares poderá ser pleiteada em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente acerca dos instrumentos de tutela individual e coletiva.

17.4. A Parte que atuar como Operador responde, solidariamente, pelos danos causados pelo tratamento quando descumprir as presentes Cláusulas ou quando não tiver seguido as instruções lícitas do Controlador, ressalvado o disposto no item 17.6.

17.5. Os Controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao Titular respondem, solidariamente, por estes danos, ressalvado o disposto no item 17.6.

17.6. Não caberá responsabilização das Partes se comprovado que: a) não realizaram o tratamento de Dados Pessoais que lhes é atribuído; b) embora tenham realizado o tratamento de Dados Pessoais que lhes é atribuído, não houve violação a estas Cláusulas ou à Legislação Nacional; ou c) o dano é decorrente de culpa exclusiva do Titular ou de terceiro que não seja destinatário de Transferência Posterior ou subcontratado pelas Partes.

17.7. Nos termos da Legislação Nacional, o juiz poderá inverter o ônus da prova a favor do Titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo Titular resultar-lhe excessivamente onerosa.

17.8. As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos desta Cláusula podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

17.9. A Parte que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

18. Salvaguardas para Transferência Posterior

18.1. O Importador somente poderá realizar Transferências Posteriores dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas se expressamente autorizado, conforme as hipóteses e condições descritas na Cláusula 3.

18.2. Em qualquer caso, o Importador: a) deve assegurar que a finalidade da Transferência Posterior é compatível com as finalidades específicas descritas na Cláusula 2; b) deve garantir, mediante instrumento contratual escrito, que as salvaguardas previstas nestas Cláusulas serão observadas pelo terceiro destinatário da Transferência Posterior; e c) para fins destas Cláusulas, e em relação aos Dados Pessoais transferidos, será considerado o responsável por eventuais irregularidades praticadas pelo terceiro destinatário da Transferência Posterior.

18.3. A Transferência Posterior poderá, ainda, ser realizada com base em outro mecanismo válido de Transferência Internacional de Dados previsto na Legislação Nacional, independentemente da autorização de que trata a Cláusula 3.

19. Notificação de Solicitação de Acesso

19.1. O Importador notificará o Exportador e o Titular sobre Solicitação de Acesso relacionada aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, ressalvada a hipótese de vedação de notificação pela lei do país de tratamento dos dados.

19.2. O Importador adotará as medidas legais cabíveis, incluindo ações judiciais, para proteger os direitos dos Titulares sempre que houver fundamento jurídico adequado para questionar a legalidade da Solicitação de Acesso e, se for o caso, a vedação de realizar a notificação referida no item 19.1.

19.3. Para atender às solicitações da ANPD e do Exportador, o Importador deve manter registro de Solicitações de Acesso, incluindo data, solicitante, finalidade da solicitação, tipo de dados solicitados, número de solicitações recebidas e medidas legais adotadas.

20. Término do Tratamento e Eliminação dos Dados

20.1. As Partes deverão eliminar os Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação apenas para as seguintes finalidades: a) cumprimento de obrigação legal ou regulatória pelo Controlador; b) estudo por Órgão de Pesquisa, garantida, sempre que possível, a anonimização dos Dados Pessoais; c) transferência a terceiro, desde que respeitados os requisitos previstos nestas Cláusulas e na Legislação Nacional; e d) uso exclusivo do Controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

20.2. Para fins desta Cláusula, considera-se que o término do tratamento ocorrerá quando: a) alcançada a finalidade prevista nestas Cláusulas; b) os Dados Pessoais deixarem de ser necessários ou pertinentes ao alcance da finalidade específica prevista nestas Cláusulas; c) finalizado o período de tratamento; d) atendida solicitação do Titular; e e) determinado pela ANPD, quando houver violação ao disposto nestas Cláusulas ou na Legislação Nacional.

21. Segurança no Tratamento dos Dados

21.1. As Partes deverão adotar medidas de segurança que garantam proteção aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, mesmo após o seu término.

21.2. As Partes informarão, na Seção III, as Medidas de Segurança adotadas, considerando a natureza das informações tratadas, as características específicas e a finalidade do tratamento, o estado atual da tecnologia e os riscos para os direitos dos Titulares, especialmente no caso de dados pessoais sensíveis e de crianças e adolescentes.

21.3. As Partes deverão realizar os esforços necessários para adotar medidas periódicas de avaliação e revisão visando manter nível de segurança adequado às características do tratamento de dados.

22. Legislação do País Destinatário dos Dados

22.1. O Importador declara que não identificou leis ou práticas administrativas do país destinatário dos Dados Pessoais que o impeçam de cumprir as obrigações assumidas nestas Cláusulas.

22.2. Sobrevindo alteração normativa que altere esta situação, o Importador notificará, de imediato, o Exportador para avaliação da continuidade do contrato.

23. Descumprimento das Cláusulas pelo Importador

23.1. Havendo violação das salvaguardas e garantias previstas nestas Cláusulas ou a impossibilidade de seu cumprimento pelo Importador, o Exportador deverá ser comunicado imediatamente, ressalvado o disposto no item 19.1.

23.2. Recebida a comunicação de que trata o item 23.1 ou verificado o descumprimento destas Cláusulas pelo Importador, o Exportador adotará as providências pertinentes para assegurar a proteção aos direitos dos Titulares e a conformidade da Transferência Internacional de Dados com a Legislação Nacional e as presentes Cláusulas, podendo, conforme o caso: a) suspender a Transferência Internacional de Dados; b) solicitar a devolução dos Dados Pessoais, sua transferência a um terceiro, ou a sua eliminação; e c) rescindir o contrato.

24. Eleição do Foro e Jurisdição

24.1. Aplica-se a estas Cláusulas a legislação brasileira e qualquer controvérsia entre as Partes decorrente destas Cláusulas será resolvida perante os tribunais competentes do Brasil, observado, se for o caso, o foro eleito pelas Partes na Seção IV.

24.2. Os Titulares podem ajuizar ações judiciais contra o Exportador ou o Importador, conforme sua escolha, perante os tribunais competentes no Brasil, inclusive naqueles localizados no local de sua residência.

24.3. Em comum acordo, as Partes poderão se valer da arbitragem para resolver os conflitos decorrentes destas Cláusulas, desde que realizada no Brasil e conforme as disposições da Lei de Arbitragem.