Processamento de Dados

Adendo de processamento de dados

Este Adendo de Processamento de Dados (“APD”) rege o processamento de Dados do Cliente pela Vistune (i) fornecidos pelo Cliente à Vistune por meio da API da Vistune (“Serviços de API”) ou (ii) de acordo com o fornecimento do serviço da Vistune para empresas (os “Serviços Vistune Advanced”) (para fins deste APD, os Serviços de API e os Serviços Vistune Advanced são juntos os “Serviços”) sob os Termos Comerciais da Vistune, Contrato Empresarial ou outro contrato entre o Cliente e a Vistune que rege o uso dos Serviços pelo Cliente (o “Contrato”) e é aqui incorporado ao Contrato. Se é na medida em que a linguagem neste APD entrar em conflito com o Contrato, os termos conflitantes neste APD prevalecerão. Termos em maiúsculas não definidos neste APD têm o significado estabelecido no Contrato. Para os propósitos deste APD somente, “Cliente” inclui qualquer entidade afiliada do Cliente que (a) tenha celebrado um Formulário de Pedido com a Vistune e que (b) direta ou indiretamente, por meio de um ou mais controles intermediários, seja controlada por, ou esteja sob controle comum com o Cliente.

Em conexão com o Contrato, o Cliente é a pessoa que determina os propósitos e meios para os quais os Dados do Cliente (conforme definido abaixo) são processados (um “Controlador de Dados”), enquanto a Vistune processa os Dados do Cliente de acordo com as instruções do Controlador de Dados e em nome do Controlador de Dados (como um “Processador de Dados”). “Controlador de Dados” e “Processador de Dados” também significam os conceitos equivalentes sob as Leis de Proteção de Dados. Para os propósitos do Contrato e deste APD, (i) “Dados Pessoais” tem o significado atribuído ao termo “dados pessoais” ou “informações pessoais” sob as Leis de Proteção de Dados aplicáveis; e (ii) “Dados do Cliente” significa Dados Pessoais que o Cliente fornece à Vistune que a Vistune processa em nome do Cliente para fornecer os Serviços. A Vistune processará os Dados do Cliente como Processador de Dados do Cliente para fornecer ou manter os Serviços e para os propósitos estabelecidos neste APD, no Contrato e/ou em quaisquer outros acordos aplicáveis entre o Cliente e a Vistune.

1. Requisitos de Processamento

Como Processador de Dados, a Vistune concorda em:

• (a) processar Dados do Cliente somente (i) em nome do Cliente para fins de fornecer e dar suporte aos Serviços da Vistune (incluindo fornecer insights, relatórios, análises e monitoramento de abuso, confiança e segurança da plataforma); (ii) em conformidade com as instruções escritas recebidas do Cliente; e (iii) de uma maneira que forneça não menos do que o nível de proteção de privacidade exigido pelas Leis de Proteção de Dados;

• (b) informar prontamente o Cliente por escrito se a Vistune não puder cumprir com os requisitos deste APD;

• (c) não fornecer ao Cliente remuneração em troca de Dados do Cliente do Cliente. As partes reconhecem e concordam que o Cliente não “vendeu” (conforme tal termo é definido pela CCPA) Dados do Cliente para a Vistune;

• (d) não “vendeu” (conforme tal termo é definido pelas Leis de Privacidade dos Brasil) ou “compartilha” (conforme tal termo é definido pela CCPA) Dados Pessoais;

• (e) informar o Cliente prontamente se, na opinião da Vistune, uma instrução do Cliente viola as Leis de Proteção de Dados aplicáveis;

• (f) exigir que (i) as pessoas empregadas por ela e (ii) outras pessoas contratadas para atuar em nome da Vistune estejam sujeitas a um dever de confidencialidade com relação aos Dados do Cliente e cumpram as obrigações de proteção de dados aplicáveis à Vistune sob o Contrato e este APD;

• (g) envolver as organizações ou pessoas listadas para processar Dados do Cliente (cada “Subprocessador” e a lista na URL anterior, a “Lista de Subprocessadores”) para ajudar a Vistune a satisfazer suas obrigações de acordo com este APD ou delegar todas ou parte das atividades de processamento a tais Subprocessadores. O Cliente consente com o uso de tais Subprocessadores. Se o Cliente assinar notificações por e-mail conforme fornecido no site da Lista de Subprocessadores, a Vistune notificará o Cliente sobre quaisquer alterações que a Vistune pretende fazer na Lista de Subprocessadores pelo menos 15 dias antes das alterações entrarem em vigor (o que pode ser por e-mail, uma publicação ou notificação em um portal online para nossos serviços ou outros meios razoáveis). No caso de o Cliente não desejar consentir com o uso de tal Subprocessador adicional, o Cliente pode notificar a Vistune de que o Cliente não consente dentro de quinze (15) dias por motivos razoáveis relacionados à proteção dos Dados do Cliente, seguindo as instruções estabelecidas na Lista de Subprocessadores ou entrando em contato com privacy@vistune.ai⁠. Nesse caso, a Vistune terá o direito de sanar a objeção por meio de uma das seguintes opções: (i) a Vistune cancelará seus planos de usar o Subprocessador com relação ao processamento de Dados do Cliente ou oferecerá uma alternativa para fornecer seus Serviços ou serviços sem tal Subprocessador; (ii) a Vistune tomará as medidas corretivas solicitadas pelo Cliente no aviso de objeção do Cliente e prosseguirá com o uso do Subprocessador; (iii) a Vistune pode deixar de fornecer, ou o Cliente pode concordar em não usar, temporária ou permanentemente, o aspecto ou recurso específico dos Serviços Vistune ou serviços que envolveriam o uso de tal Subprocessador; ou (iv) o Cliente pode deixar de fornecer Dados do Cliente à Vistune para processamento envolvendo tal Subprocessador. Se nenhuma das opções acima for comercialmente viável, no julgamento razoável da Vistune, e a(s) objeção(ões) não tiver(em) sido resolvida(s) para satisfação das partes dentro de trinta (30) dias do recebimento pela Vistune do aviso de objeção do Cliente, então qualquer uma das partes pode rescindir quaisquer assinaturas, formulários de pedido ou uso referentes aos Serviços que não podem ser fornecidos sem o uso do novo Subprocessador por justa causa e, nesse caso, o Cliente será reembolsado por quaisquer taxas pré-pagas para as assinaturas, formulários de pedido ou uso aplicáveis na medida em que cubram períodos ou termos após a data de tal rescisão. Esse direito de rescisão é o único e exclusivo recurso do Cliente se opuser a qualquer novo Subprocessador. A Vistune celebrará acordos contratuais com cada Subprocessador, obrigando-os a fornecer um nível comparável de proteção de dados e segurança de informações ao aqui previsto. Sujeito às limitações de responsabilidade incluídas no Contrato, a Vistune concorda em ser responsável pelos atos e omissões de seus Subprocessadores na mesma medida em que a Vistune seria responsável sob os termos do APD se ela própria realizasse tais atos ou omissões;

• (h) mediante solicitação razoável, no máximo uma vez por ano, fornecer ao Cliente as políticas de privacidade e segurança da Vistune e outras informações necessárias para demonstrar conformidade com as obrigações estabelecidas neste APD e nas Leis de Proteção de Dados aplicáveis;

• (i) quando exigido por lei e mediante notificação razoável e acordos de confidencialidade apropriados, cooperar com avaliações, auditorias ou outras etapas realizadas por ou em nome do Cliente às custas exclusivas do Cliente e de uma maneira que seja minimamente prejudicial aos negócios da Vistune que sejam necessárias para confirmar que a Vistune está processando Dados do Cliente de uma maneira consistente com este APD. Quando permitido por lei, a Vistune pode, em vez disso, disponibilizar ao Cliente um resumo dos resultados de uma auditoria de terceiros ou relatórios de certificação relevantes para a conformidade da Vistune com este APD. Tais resultados e/ou os resultados de quaisquer avaliações, auditorias ou outras etapas serão as Informações Confidenciais da Vistune;

• (j) na medida em que o Cliente permitir ou instruir a Vistune a processar Dados do Cliente sujeitos às Leis de Privacidade dos Brasil de forma desidentificada, anônima e/ou agregada como parte dos Serviços, a Vistune deverá (i) adotar medidas razoáveis para impedir que tais dados desidentificados sejam usados para inferir informações sobre, ou de outra forma serem vinculados a, uma pessoa física ou domicílio específico; (ii) não tentar identificar as informações, exceto que a Vistune pode tentar identificar as informações exclusivamente com o propósito de determinar se seus processos de desidentificação estão em conformidade com as Leis de Proteção de Dados ou estão funcionando conforme o esperado; e (iii) antes de compartilhar dados desidentificados com qualquer outra parte, incluindo Subprocessadores, obrigar contratualmente tais destinatários a cumprir com os requisitos desta disposição;

• (k) onde os Dados do Cliente estão sujeitos ao CCPA, não (i) reter, usar, divulgar ou processar Dados do Cliente, exceto conforme necessário para os fins comerciais especificados no Contrato ou neste APD; (ii) reter, usar, divulgar ou processar Dados do Cliente de qualquer maneira fora do relacionamento comercial direto entre a Vistune e o Cliente; ou (iii) combinar quaisquer Dados do Cliente com Dados Pessoais que a Vistune recebe de ou em nome de qualquer outro terceiro ou coleta das próprias interações da Vistune com indivíduos, desde que a Vistune possa combinar Dados do Cliente para uma finalidade permitida pelo CCPA se orientado a fazê-lo pelo Cliente ou conforme permitido pelo CCPA;

• (l) quando exigido por lei, conceder ao Cliente os direitos de (i) tomar medidas razoáveis e apropriadas para garantir que a Vistune use Dados do Cliente de maneira consistente com as Leis de Proteção de Dados, exercendo as disposições de auditoria estabelecidas neste APD acima; e (ii) interromper e remediar o uso não autorizado de Dados do Cliente, por exemplo, solicitando que a Vistune forneça confirmação por escrito de que os Dados do Cliente aplicáveis foram excluídos.

2. Aviso ao Cliente

A Vistune informará o Cliente se a Vistune tomar conhecimento de:

• (a) qualquer solicitação legalmente vinculativa para divulgação de Dados do Cliente por uma autoridade policial, a menos que a Vistune seja proibida por lei de informar o Cliente, por exemplo, para preservar a confidencialidade de uma investigação por autoridades policiais;

• (b) qualquer notificação, inquérito ou investigação por uma autoridade pública independente estabelecida por um estado-membro de acordo com o Artigo 51 do GDPR (uma "Autoridade Supervisora") com relação aos Dados do Cliente; ou

• (c) qualquer reclamação ou solicitação (em particular, solicitações de acesso, retificação ou bloqueio de Dados do Cliente) recebidas diretamente dos titulares dos dados do Cliente. A Vistune não responderá a nenhuma solicitação desse tipo sem a autorização prévia por escrito do Cliente.

3. Assistência ao Cliente

A Vistune fornecerá assistência razoável ao Cliente em relação a:

• (a) informações necessárias, levando em consideração a natureza do processamento, para responder às solicitações recebidas de acordo com as Leis de Proteção de Dados dos titulares dos dados do Cliente em relação ao acesso ou retificação, exclusão, restrição, portabilidade, objeção, bloqueio ou exclusão de Dados do Cliente que a Vistune processa para o Cliente. No caso de um titular de dados enviar tal solicitação diretamente à Vistune, a Vistune enviará prontamente tal solicitação ao Cliente;

• (b) a investigação de qualquer violação da segurança da Vistune que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso não autorizado aos Dados do Cliente processados pela Vistune para o Cliente (uma “Violação de Dados Pessoais”); e

• (c) quando apropriado, a preparação de avaliações de impacto de proteção de dados com relação ao processamento de Dados do Cliente pela Vistune e, quando necessário, a realização de consultas com qualquer autoridade supervisora com jurisdição sobre tal processamento.

4. Processamento Obrigatório

Se a Vistune for obrigada pelas Leis de Proteção de Dados a processar quaisquer Dados do Cliente por um motivo diferente do Contrato, a Vistune informará o Cliente sobre este requisito antes de qualquer processamento, a menos que seja legalmente proibido.

5. Segurança

A Vistune irá:

• (a) manter medidas de segurança técnicas e organizacionais razoáveis e apropriadas, incluindo, mas não se limitando às medidas descritas no Anexo B deste APD (incluindo com relação a pessoal, instalações, hardware e software, armazenamento e redes, controles de acesso, monitoramento e registro, vulnerabilidade e detecção de violação, resposta a incidentes e criptografia) para proteger contra acesso não autorizado ou acidental, perda, alteração, divulgação ou destruição de Dados do Cliente e para proteger os direitos dos titulares desses Dados do Cliente;

• (b) tomar as medidas adequadas para confirmar que o pessoal da Vistune está protegendo a segurança, privacidade e confidencialidade dos Dados do Cliente consistentes com os requisitos deste APD; e

• (c) notificar o Cliente sobre qualquer Violação de Dados Pessoais pela Vistune, seus Subprocessadores ou quaisquer outros terceiros agindo em nome da Vistune sem demora indevida após a Vistune tomar conhecimento de tal Violação de Dados Pessoais.

6. Obrigações do Cliente

• (a) O Cliente declara, garante e concorda que tem e manterá durante todo o prazo todos os direitos, consentimentos e autorizações necessários para fornecer os Dados do Cliente à Vistune e autorizar a Vistune a usar, divulgar, reter e de outra forma processar os Dados do Cliente conforme contemplado por este APD, o Contrato e/ou outras instruções de processamento fornecidas à Vistune.

• (b) O Cliente cumprirá todas as Leis de Proteção de Dados aplicáveis.

• (c) O Cliente cooperará razoavelmente com a Vistune para auxiliar a Vistune a executar qualquer uma de suas obrigações com relação a quaisquer solicitações dos titulares de dados do Cliente.

• (d) Sem prejuízo das obrigações de segurança da Vistune na Seção 5 deste APD, o Cliente reconhece e concorda que ele, e não a Vistune, é responsável por certas configurações e decisões de design para os serviços e que o Cliente, e não a Vistune, é responsável por implementar essas configurações e decisões de design de forma segura e em conformidade com as Leis de Proteção de Dados aplicáveis.

• (e) O Cliente não deve fornecer Dados do Cliente à Vistune, exceto por meio de mecanismos acordados. Por exemplo, o Cliente não deve incluir Dados do Cliente além de informações de contato técnico ou, em tíquetes de suporte técnico, transmitir Dados do Cliente do usuário à Vistune por e-mail. Sem limitação ao exposto acima, o Cliente declara, garante e concorda que somente transferirá Dados do Cliente para a Vistune usando mecanismos seguros, razoáveis e apropriados, na medida em que tais mecanismos estejam sob o controle do Cliente.

• (f) O Cliente não deve tomar nenhuma ação que (i) torne o fornecimento de Dados do Cliente à Vistune uma "venda" sob as Leis de Privacidade do Brasil ou uma "partilha" sob a CCPA (ou conceitos equivalentes sob as Leis de Privacidade do Brasil); ou (ii) tornar a Vistune não uma “provedora de serviços” sob a CCPA ou “processadora” sob as Leis de Privacidade do Brasil.

7. Prazo; Devolução e exclusão de dados

Este APD permanecerá em vigor enquanto a Vistune realizar operações de processamento de Dados do Cliente em nome do Cliente ou até a rescisão do Contrato (e todos os Dados do Cliente tiverem sido devolvidos ou excluídos de acordo com este APD). A Vistune reterá os Dados do Cliente do Serviço de API enviados por meio da API por um máximo de trinta (30) dias, após os quais serão excluídos, exceto quando a Vistune for obrigada a reter cópias de acordo com as leis aplicáveis, caso em que a Vistune isolará e protegerá esses Dados do Cliente de qualquer processamento posterior, exceto na medida exigida pelas leis aplicáveis. A Vistune reterá os Dados do Cliente do Serviço Empresarial Vistune durante o prazo do Contrato, a menos que indicado de outra forma no Contrato ou no Formulário de Pedido. Após a rescisão do APD, a Vistune orientará cada Subprocessador a excluir os Dados do Cliente dentro de trinta (30) dias da rescisão do APD, a menos que seja proibido por lei. Para maior clareza, a Vistune pode continuar a processar informações derivadas de Dados do Cliente que foram desidentificados, anonimizados e/ou agregados de forma que os dados não sejam mais considerados Dados Pessoais sob as Leis de Proteção de Dados aplicáveis e de uma maneira que não identifique indivíduos ou o Cliente para melhorar os sistemas e serviços da Vistune.

8. Segurança

A missão da Vistune é implantar IA segura e responsável em escala para o benefício de todos. De acordo com esta missão, a Vistune mantém um programa de segurança da informação projetado para proteger seus sistemas, dados e Dados do Cliente.

• 8.1 Avaliações de Segurança. A Vistune realiza testes regulares de segurança e vulnerabilidade para avaliar se os principais controles são implementados adequadamente e são eficazes, conforme medido em relação aos padrões de segurança do setor e suas políticas e procedimentos, e para garantir a conformidade contínua com as obrigações impostas por lei, regulamentação ou contrato com relação à segurança dos Dados do Cliente, bem como à manutenção e estrutura dos sistemas de informação da Vistune.