Contrato de Processamento de Dados para MSPs

Este Acordo de Processamento de Dados ("Acordo") faz parte do Contrato de Provedor de Serviços Gerenciados (o "Contrato Principal") entre a Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suíça, número de identificação da empresa CHE-354.686.492 (referida como o "Processador"), e o MSP identificado no Contrato Principal (referido como a "Empresa", e que deve ser entendida como o provedor de serviços gerenciados que utiliza os Serviços para provisionar, faturar e fornecer suporte aos seus próprios Clientes Gerenciados, independentemente de sua forma jurídica).

Este Contrato rege os requisitos específicos das Leis de Proteção de Dados na medida em que o uso dos Serviços pela Empresa, incluindo o provisionamento dos Serviços pela Empresa para Clientes Gerenciados, implique o Processamento de Dados Pessoais sujeitos às Leis de Proteção de Dados.

A duração deste Contrato seguirá a duração do Contrato Principal. Os termos não definidos neste documento terão o significado estabelecido no Contrato Principal.

ONDE

A) A Empresa atua como Controladora de Dados ou, quando um Cliente Gerenciado instruir o Processamento de seus próprios Dados Pessoais, como Processadora de Dados em nome desse Cliente Gerenciado (em ambos os casos, o "Controlador").

B) A Empresa deseja subcontratar determinados Serviços, que implicam o Processamento de Dados Pessoais, para a Proton AG, atuando como Processador de Dados (o "Processador").

C) As Partes buscam implementar um contrato de processamento de dados em conformidade com os requisitos da estrutura jurídica atual relativa ao processamento de dados, incluindo o Regulamento (UE) 2016/679 (o "GDPR") e a Lei Federal Suíça sobre Proteção de Dados ("FADP"), bem como outras Leis de Proteção de Dados aplicáveis.

D) As Partes desejam estabelecer seus respectivos direitos e obrigações.

É ACORDADO O SEGUINTE:

1. Definições, funções e escopo

1.1 Definições. Salvo definição em contrário neste documento, os termos em maiúsculas têm o significado atribuído a eles no Contrato Principal ou, caso não estejam definidos lá, o seguinte significado:

• "Dados Pessoais da Empresa" significa quaisquer Dados Pessoais relacionados à Empresa, aos Clientes Gerenciados da Empresa ou aos seus respectivos clientes ou funcionários, Processados em conexão com o Contrato Principal.
• "Processador Contratado" significa um Subprocessador.
• "Leis de Proteção de Dados" significa o GDPR, a FADP e, na medida aplicável, as leis de proteção de dados ou privacidade de qualquer outro país.
• "Transferência de Dados" significa (i) uma transferência de Dados Pessoais da Empresa da Empresa para o Processador ou um Processador Contratado, ou (ii) uma transferência posterior de Dados Pessoais da Empresa do Processador para um Subprocessador, ou entre dois estabelecimentos de um Subprocessador.
• "Cliente Gerenciado" tem o significado atribuído no Contrato Principal: uma entidade de usuário final para a qual a Empresa provisiona e fornece os Serviços como parte da própria oferta de serviços gerenciados da Empresa.
• “Subprocessador” significa qualquer pessoa indicada pelo Processador ou em nome dele para Processar Dados Pessoais em conexão com o Contrato.
• Os termos "Comissão", "Controlador", "Titular dos Dados", "Estado-Membro", "Dados Pessoais", "Violação de Dados Pessoais", "Processamento" e "Autoridade de Supervisão" têm o mesmo significado atribuído a eles no GDPR ou em outra Lei de Proteção de Dados aplicável.

1.2 Funções das Partes. Entre a Proton e a Empresa, a Empresa é o Controlador (ou, conforme aplicável, o Processador atuando segundo as instruções de um Cliente Gerenciado) e a Proton é o Processador, com relação a todos os Dados Pessoais da Empresa Processados sob o Contrato Principal, incluindo Dados Pessoais de Clientes Gerenciados ou relacionados a eles e seus respectivos usuários finais. Este Contrato é o acordo de processamento de dados integral e exclusivo entre a Proton e qualquer parte na cadeia de Clientes Gerenciados. A Proton não possui relação contratual direta, de Controlador-Processador ou de Processador-Subprocessador com nenhum Cliente Gerenciado, e nenhum Cliente Gerenciado é parte deste Contrato ou terceiro beneficiário dele. A Empresa é a única responsável por seus contratos com seus Clientes Gerenciados e por suas obrigações para com eles, incluindo quaisquer termos de proteção de dados que a Empresa lhes deva sob a legislação aplicável ou por contrato.

1.3 Responsabilidade subsequente da Empresa. A Empresa deverá celebrar um contrato por escrito com cada Cliente Gerenciado que imponha obrigações de proteção de dados à Empresa não menos protetivas aos Dados Pessoais desse Cliente Gerenciado do que as obrigações que a Proton tem com a Empresa sob este Contrato, na medida aplicável à natureza dos Serviços que a Empresa fornece a esse Cliente Gerenciado. As obrigações da Proton sob este Contrato aplicam-se exclusivamente à Empresa; a Empresa permanece como única responsável perante seus Clientes Gerenciados pelo Processamento de seus Dados Pessoais, incluindo quaisquer atos ou omissões da Proton, na relação entre a Empresa e seus Clientes Gerenciados.

2. Processamento de Dados Pessoais da Empresa

O Processador deve:

• cumprir todas as Leis de Proteção de Dados aplicáveis no Processamento de Dados Pessoais da Empresa; e
• não Processar Dados Pessoais da Empresa exceto mediante instruções documentadas da Empresa, conforme estabelecido abaixo.

A Empresa instrui o Processador a Processar Dados Pessoais da Empresa para:

• fornecer os Serviços e o suporte técnico relacionado à Empresa e, por meio da Empresa, aos Clientes Gerenciados;
• cumprir obrigações legais ou resolver disputas;
• exercer qualquer tarefa interna destinada a otimizar a segurança, a privacidade, a confidencialidade e a funcionalidade dos Serviços; e
• exercer relatórios internos, relatórios financeiros e outras tarefas internas semelhantes.

3. Pessoal do Processador

O Processador tomará medidas razoáveis para garantir a confiabilidade de qualquer funcionário, agente ou contratado de qualquer Processador Contratado que possa ter acesso aos Dados Pessoais da Empresa, garantindo em cada caso que o acesso seja estritamente limitado aos indivíduos que precisam conhecer ou acessar os Dados Pessoais da Empresa relevantes, conforme estritamente necessário para os fins do Contrato Principal e/ou para cumprir as Leis de Proteção de Dados, e garantindo que todos esses indivíduos estejam sujeitos a compromissos de confidencialidade ou a obrigações profissionais ou estatutárias de confidencialidade.

4. Segurança

De acordo com o Artigo 32(1) do GDPR, o Processador implementará medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, levando em consideração o estado da arte, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do Processamento. Essas medidas são projetadas para proteger os direitos e as liberdades das pessoas físicas, considerando os riscos de probabilidade e gravidade variáveis, incluindo o risco de uma Violação de Dados Pessoais. A Empresa deverá implementar medidas técnicas e organizacionais adequadas para o seu próprio Processamento de Dados Pessoais da Empresa, incluindo a administração de contas de Clientes Gerenciados por meio de Licenças de Administrador MSP, e garantirá que o acesso a essas contas seja limitado ao pessoal da Empresa que necessite dele, protegido por controles de autenticação adequados e revogado imediatamente quando não for mais necessário.

5. Subprocessamento

Sujeito a este Contrato, a Empresa concede autorização geral ao Processador para contratar Subprocessadores e divulgar ou transferir Dados Pessoais da Empresa para eles. A Empresa reconhece e aprova a lista de Subprocessadores descrita na Política de Privacidade do Processador, entendendo que essa lista pode ser atualizada pelo Processador periodicamente, caso em que a Empresa será informada de acordo com o processo de notificação da Política de Privacidade. A Empresa autoriza ainda o Processador a divulgar e transferir Dados Pessoais para qualquer empresa dentro do seu grupo corporativo. O Processador garantirá que os Subprocessadores estejam sujeitos a um contrato com o Processador não menos restritivo e protetivo do que este Contrato com relação à proteção dos Dados Pessoais da Empresa, na medida aplicável à natureza dos serviços prestados por esse Subprocessador. Para evitar dúvidas, a Empresa não é uma Subprocessadora da Proton e esta Seção não se aplica à contratação pela Empresa de qualquer Cliente Gerenciado ou terceiro.

6. Direitos do Titular de Dados

Levando em consideração a natureza do Processamento, o Processador auxiliará razoavelmente a Empresa no cumprimento das obrigações da Empresa de responder a solicitações de exercício dos direitos dos Titulares dos Dados sob as Leis de Proteção de Dados, incluindo solicitações que a Empresa receba de um Cliente Gerenciado, em nome dele ou dos próprios usuários finais desse Cliente Gerenciado.

O Processador deve:

• notificar imediatamente a Empresa se receber um pedido de um Titular de Dados sob qualquer Lei de Proteção de Dados em relação aos Dados Pessoais da Empresa; e

• garantir que não responderá a essa solicitação, exceto sob as instruções documentadas da Empresa ou conforme exigido pela legislação aplicável, hipótese em que o Processador deverá, na medida legalmente permitida, informar a Empresa sobre essa exigência legal antes de responder.

A Empresa é a única responsável por responder e coordenar com qualquer Cliente Gerenciado a respeito de qualquer solicitação do Titular dos Dados relacionada aos Dados Pessoais desse Cliente Gerenciado; o Processador não tem obrigação de identificar ou se comunicar diretamente com nenhum Cliente Gerenciado.

7. Violação de Dados Pessoais

O Processador gerenciará qualquer Violação de Dados Pessoais em conformidade com as Leis de Proteção de Dados aplicáveis e seus procedimentos internos de Violação de Dados Pessoais. Em caso de Violação de Dados Pessoais que afete os Dados Pessoais da Empresa, o Processador notificará a Empresa sem demora, fornecendo informações suficientes para permitir que a Empresa cumpra suas próprias obrigações sob as Leis de Proteção de Dados, incluindo, quando aplicável, informar os Clientes Gerenciados e Titulares dos Dados afetados. O Processador cooperará com a Empresa e tomará medidas comerciais razoáveis conforme orientado pela Empresa para auxiliar na investigação, mitigação e remediação de cada uma dessas Violações de Dados Pessoais. Cada Parte arcará com os custos de investigação, remediação, mitigação e outros custos relacionados na medida em que uma Violação de Dados Pessoais for causada por essa Parte. Cada Parte arcará com os custos de quaisquer multas, penalidades, indenizações por danos ou outros valores relacionados impostos por uma autoridade reguladora competente na medida em que decorram da violação, por essa Parte, de suas próprias obrigações sob este Contrato. A Empresa é a única responsável pelas notificações de violação aos seus Clientes Gerenciados e aos seus Titulares dos Dados, bem como pelo momento e conteúdo dessas notificações.

8. Avaliação de Impacto sobre a Proteção de Dados e Consulta Prévia

O Processador fornecerá assistência razoável à Empresa em avaliações de impacto sobre a proteção de dados e consultas prévias com autoridades de supervisão que a Empresa considere razoavelmente exigidas pelo Artigo 35 ou 36 do GDPR ou disposições equivalentes de qualquer outra Lei de Proteção de Dados, em cada caso unicamente em relação ao Processamento de Dados Pessoais da Empresa pelos Processadores Contratados e levando em consideração a natureza do Processamento e as informações disponíveis para eles.

9. Exclusão ou devolução de Dados Pessoais da Empresa

Após a cessação de qualquer Serviço que envolva o Processamento de Dados Pessoais da Empresa, o Processador excluirá todos os Dados Pessoais da Empresa na medida permitida pela legislação aplicável e de acordo com os Termos e Condições e a Política de Privacidade do Processador. Caso a Empresa precise de uma cópia dos Dados Pessoais da Empresa, deverá solicitá-la antes da exclusão; solicitações feitas após a exclusão não poderão mais ser atendidas. Com a rescisão do Contrato Principal, a Empresa permanece como a única responsável por gerenciar a exclusão, a devolução ou a transição dos Dados Pessoais de qualquer Cliente Gerenciado entre a Empresa e esse Cliente Gerenciado, de acordo com a Seção 5.4 do Contrato Principal (Assistência na transição).

10. Direitos de auditoria

Sujeito a esta Seção 10, o Processador disponibilizará à Empresa, mediante solicitação, todas as informações necessárias para demonstrar a conformidade com este Contrato e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pela Empresa ou por um auditor designado pela Empresa, em relação ao Processamento de Dados Pessoais da Empresa pelos Processadores Contratados. A Empresa não exercerá seus direitos de auditoria sob esta Seção mais de uma vez por ano civil, exceto após uma Violação de Dados Pessoais ou por determinação de uma autoridade reguladora. A Empresa deverá notificar o Processador por escrito com pelo menos sessenta (60) dias de antecedência sobre sua intenção de realizar a auditoria. A auditoria deverá ser realizada durante o horário comercial do Processador, não poderá interromper as operações do Processador e deverá garantir a proteção dos Dados Pessoais da Empresa, do Processador e de outros Titulares dos Dados. As Partes deverão acordar mutuamente com antecedência a data, o escopo, a duração e os controles de segurança e confidencialidade aplicáveis à auditoria; o Processador poderá exigir um acordo de não divulgação antes da auditoria. Os direitos de informação e de auditoria sob esta Seção surgem apenas na medida em que este Contrato não conceda à Empresa, de outra forma, direitos de informação e de auditoria que atendam aos requisitos relevantes da Lei de Proteção de Dados. Quando um Cliente Gerenciado solicitar informações sobre o Processamento da Proton como parte das obrigações de due diligence da própria Empresa perante esse Cliente Gerenciado, a Empresa poderá recorrer a esta Seção para obter as informações necessárias do Processador e repassá-las, mas o próprio Cliente Gerenciado não tem direito independente de auditoria em relação ao Processador.

11. Transferência de Dados

Na medida do possível, o Processador só transferirá ou autorizará a transferência de Dados Pessoais da Empresa para países dentro da Suíça, da UE e/ou países sujeitos a uma decisão de adequação, conforme previsto no Artigo 45 do GDPR e no Artigo 16 da FADP suíça. Se os Dados Pessoais da Empresa Processados sob este Contrato forem transferidos da Suíça, da UE ou de um país sujeito a uma decisão de adequação para um país fora desse escopo, as Partes garantirão que os Dados Pessoais estejam adequadamente protegidos, baseando-se, a menos que acordado de outra forma, em cláusulas contratuais padrão aprovadas pela Suíça, pela UE e/ou pelo Reino Unido vigentes no momento, ou em outros mecanismos de transferência previstos pelas Leis de Proteção de Dados. O Processador estará autorizado a realizar tais transferências para Subprocessadores, desde que salvaguardas adequadas sejam implementadas, levando em consideração a natureza da transferência.

12. Termos Gerais

12.1 Conformidade com as Leis Aplicáveis. O Processador Processará os Dados Pessoais da Empresa de acordo com este Contrato e com as Leis de Proteção de Dados aplicáveis à sua função sob este Contrato. O Processador não é responsável por cumprir as Leis de Proteção de Dados aplicáveis exclusivamente à Empresa ou a qualquer Cliente Gerenciado em virtude de suas respectivas atividades ou setores.

12.2 Confidencialidade. Cada Parte manterá em sigilo qualquer informação que receber sobre a outra Parte em conexão com este Contrato e não a usará nem a divulgará sem o consentimento prévio por escrito da outra Parte, exceto na medida em que (a) a divulgação seja exigida por lei ou (b) as informações já sejam de domínio público sem culpa das Partes.

12.3 Avisos. Os avisos sob este Contrato deverão ser feitos de acordo com as disposições sobre notificações do Contrato Principal. Os avisos ao Processador referentes a questões de proteção de dados deverão ser enviados adicionalmente com cópia para legal@proton.ch

12.4 Responsabilidade. A responsabilidade de cada Parte decorrente deste Contrato ou relacionada a ele está sujeita às disposições de limitação de responsabilidade do Contrato Principal e limitada de acordo com elas, incluindo qualquer limite específico ali estabelecido para violações de obrigações de confidencialidade e proteção de dados. Nada neste Contrato limita a responsabilidade de qualquer uma das Partes por multas ou penalidades impostas diretamente a ela por uma autoridade de supervisão competente decorrentes da violação, por essa própria Parte, das Leis de Proteção de Dados aplicáveis. A Empresa reconhece que, como a única parte perante seus Clientes Gerenciados com papel de Controlador, a Empresa assume responsabilidade exclusiva por qualquer obrigação que venha a incorrer com um Cliente Gerenciado que exceda o que a Empresa possa recuperar do Processador nos termos do limite de responsabilidade do Contrato Principal.

12.5 Lei Aplicável e Jurisdição. Este Contrato é regido pela legislação suíça, sem considerar disposições sobre escolha ou conflito de leis de qualquer outra jurisdição, e quaisquer disputas decorrentes deste Contrato ou em conexão com ele estarão sujeitas à jurisdição exclusiva dos tribunais de Genebra, Suíça.

12.6 Ordem de precedência. Em caso de discrepância entre este Contrato e o Contrato Principal com relação ao Processamento de Dados Pessoais, este Contrato prevalecerá, de acordo com a Seção 10.1 do Contrato Principal. Em caso de discrepância entre a versão em inglês deste Contrato e qualquer versão traduzida, a versão em inglês prevalecerá.