Last updated: October 16, 2026
These Brazilian Standard Contractual Clauses describe the safeguards We rely on when Personal Data subject to Brazil's General Data Protection Law (Law No. 13,709 of August 14, 2018, the "LGPD") is transferred to Us. They form part of the Data Processing Agreement and, through it, part of the Contract. Words used but not defined here have the meaning given to them in the Data Processing Agreement.
If the Customer is established in Brazil, or otherwise transfers Personal Data to Us that is subject to the LGPD, the clauses set out below apply to that transfer.
These clauses cover Personal Data the Customer sends Us to process on its behalf. They are not needed for information an individual gives Us directly, such as when an Authorized User creates their own account, because that is not a transfer between organizations.
We adopt the standard contractual clauses approved by Brazil's National Data Protection Authority (ANPD) in Annex II of Resolution CD/ANPD No. 19 of August 23, 2024, as corrected in the Diário Oficial da União of August 18, 2025. Brazilian law requires these clauses to be adopted in full and without alteration, with Sections I, II and III forming an annex to the contract, so the official Portuguese text is set out in full below rather than incorporated by reference. The Customer is the exporter and acts as controller; We are the importer and act as processor.
Where the clauses offer a choice, We have made it as follows, and only the selected option is reproduced:
| Clause | Our selection |
|---|---|
| Clause 1 — Identification of the Parties | The Customer is Exporter/Controller, and We are Importer/Processor |
| Clause 3 — Subsequent Transfers | Option B. We may transfer Personal Data onward to the Subcontractors described in Clause 3, subject to Clause 18 |
| Clause 4 — Responsibilities of the Parties | Option A. The Customer, as controller, is the Designated Party responsible for the transparency notice under Clause 14, data subject requests under Clause 15, and security incident communications under Clause 16. The clauses do not allow these responsibilities to be assigned to a processor |
| Clause 24 — Choice of forum | No specific forum is chosen, so disputes go to the competent courts of Brazil |
By entering into the Contract, the Customer and We are each deemed to have signed these clauses, including Sections I to IV, as of the date the Contract takes effect.
The Portuguese text is the text We adopt. The English translation that follows it is provided for convenience only; if the two differ, the Portuguese text governs.
We support the Customer in its responsibilities as the Designated Party. Under the Contract We notify the Customer of a confirmed security incident within 72 hours, so that it can meet the three-business-day deadline in Clause 16, and We direct any data subject who contacts Us to the Customer.
ANEXO II
CLÁUSULAS-PADRÃO CONTRATUAIS
(OBS: Conforme previsto no Anexo I - Regulamento de Transferência Internacional de Dados, as Cláusulas previstas neste ANEXO II poderão integrar contrato celebrado para reger, especificamente, a transferência internacional de dados ou contrato com objeto mais amplo, inclusive mediante a assinatura de termo aditivo pelo exportador e pelo importador envolvidos na operação de transferência internacional de dados).
(OBS: Esta Seção contém Cláusulas que podem ser complementadas pelas Partes, exclusivamente, nos espaços indicados e conforme as orientações apresentadas. As definições dos termos utilizados nestas Cláusulas encontram-se detalhadas na CLÁUSULA 6).
1.1. Pelo presente instrumento contratual, o Exportador e o Importador (doravante, Partes), abaixo identificados, resolvem adotar as cláusulas-padrão contratuais (doravante Cláusulas) aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), para reger a Transferência Internacional de Dados descrita na Cláusula 2, em conformidade com as disposições da Legislação Nacional.
| Nome: | O Cliente, conforme identificado no Contrato. |
| Qualificação: | Conforme registrada no Contrato. |
| Endereço principal: | Conforme registrado no Contrato. |
| Endereço de e-mail: | Conforme registrado no Contrato. |
| Contato para o Titular: | O canal de atendimento indicado pelo Cliente no documento previsto na Cláusula 14. |
| Outras informações: | Utiliza os Serviços do Importador nos termos do Contrato. |
(X) Exportador/Controlador) ( ) Exportador/Operador)
(OBS: assinalar a opção correspondente a "Controlador" ou "Operador" e preencher com as informações de identificação, conforme indicadas no quadro).
| Nome: | Lean Sensory Systems, Inc., que atua sob o nome comercial DraughtLab. |
| Qualificação: | Sociedade constituída sob as leis do Estado de Nova York, Estados Unidos da América. |
| Endereço principal: | PO Box 585, Webster, NY 14580-0585, Estados Unidos da América. |
| Endereço de e-mail: | info@sampleox.com |
| Contato para o Titular: | Contato de Privacidade (Privacy Contact), info@sampleox.com. |
| Outras informações: | Presta, mantém, protege e oferece suporte aos Serviços utilizados pelo Exportador. |
( ) Importador/Controlador (X) Importador/Operador
(OBS: assinalar a opção correspondente a "Controlador" ou "Operador" e preencher com as informações de identificação, conforme indicadas no quadro).
2.1. Estas Cláusulas se aplicam às Transferências Internacionais de Dados do Exportador para o Importador, conforme a descrição abaixo.
Descrição da transferência internacional de dados: O Exportador e seus Usuários Autorizados enviam Dados Pessoais aos Serviços do Importador, hospedados nos Estados Unidos da América, onde são armazenados, organizados, recuperados, analisados e apresentados para a prestação dos Serviços. A transferência é contínua enquanto o Exportador utilizar os Serviços.
| Principais finalidades da transferência: | Prestação, manutenção, segurança e suporte dos Serviços nos termos do Contrato. |
| Categorias de dados pessoais transferidos: | Resultados de avaliações sensoriais, notas e comentários, imagens a eles anexadas, e resultados de treinamentos e avaliações, cada um associado ao Usuário Autorizado que o enviou. Não são transferidos Dados Pessoais Sensíveis: os Serviços não possuem campos destinados a essa categoria de dados. |
| Período de armazenamento dos dados: | Durante a vigência do Contrato e, após o seu término, conforme descrito nos Termos de Serviço do Cliente (Customer Terms of Service). As cópias de segurança são mantidas por 30 (trinta) dias. |
| Outras informações: | Os Titulares são os Usuários Autorizados do Exportador, que utilizam os Serviços em sua capacidade profissional. |
(OBS: preencher da forma mais detalhada possível com as informações relativas à transferência internacional)
(OBS: escolher entre a "OPÇÃO A" e a "OPÇÃO B", conforme o caso.).
OPÇÃO B. 3.1. O Importador poderá realizar Transferência Posterior dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas nas hipóteses e conforme as condições descritas abaixo e desde que observadas as disposições da Cláusula 18.
| Principais finalidades da transferência: | Hospedagem e armazenamento dos Serviços (Amazon Web Services, Inc., Estados Unidos); envio, por e-mail, de relatórios e de resultados de treinamentos aos Usuários Autorizados e a outros destinatários indicados pelo Exportador ou por seus Usuários Autorizados (Twilio SendGrid, Estados Unidos); e monitoramento de erros e diagnóstico dos Serviços (Raygun Limited, Nova Zelândia). |
| Categorias de dados pessoais transferidos: | Amazon Web Services: todas as categorias descritas na Cláusula 2. Twilio SendGrid: resultados de avaliações sensoriais, comentários e imagens contidos em relatórios enviados por e-mail, e resultados de treinamentos. Raygun: Dados Pessoais descritos na Cláusula 2 eventualmente contidos em relatórios de erro. |
| Período de armazenamento dos dados: | Amazon Web Services: conforme a Cláusula 2. Raygun: 180 (cento e oitenta) dias. Twilio SendGrid: conforme os termos de tratamento de dados do Subcontratado. |
| Outras informações: | A localização e a função de cada Subcontratado constam da página Subprocessors. Cada Subcontratado está vinculado ao Importador por contrato escrito de tratamento de dados. |
(OBS: preencher da forma mais detalhada possível com as informações relativas às transferências posteriores autorizadas).
(OBS: escolher entre a "OPÇÃO A" e a "OPÇÃO B", conforme o caso)
OPÇÃO A. (a "Opção A" é exclusiva para as transferências internacionais de dados nas quais ao menos uma das Partes atua como Controlador)
4.1. Sem prejuízo do dever de assistência mútua e das obrigações gerais das Partes, caberá à Parte Designada abaixo, na condição de Controlador, a responsabilidade pelo cumprimento das seguintes obrigações previstas nestas Cláusulas:
a) Responsável por publicar o documento previsto na Cláusula 14;
(X) Exportador ( ) Importador
b) Responsável por atender às solicitações de titulares de que trata a CLÁUSULA 15:
(X) Exportador ( ) Importador
c) Responsável por realizar a comunicação de incidente de segurança prevista na Cláusula 16:
(X) Exportador ( ) Importador
(OBS: nas alíneas "a", "b" e "c", assinalar a opção correspondente a: (i) "Exportador" ou "Importador", nos casos em que apenas uma das Partes atua como controlador; ou (ii) assinalar ambas as opções, nos casos em que as duas Partes atuam como controladores. A responsabilidade pelo cumprimento das obrigações referidas nas Cláusulas 14 a 16 não pode ser atribuída à Parte que atua como Operador. Caso se verifique, posteriormente, que a Parte Designada atua como Operador, aplicar-se-á o disposto no item 4.2)
4.2. Para os fins destas Cláusulas, verificado, posteriormente, que a Parte Designada na forma do item 4.1. atua como Operador, o Controlador permanecerá responsável:
a) pelo cumprimento das obrigações previstas nas Cláusulas 14, 15 e 16 e demais disposições estabelecidas na Legislação Nacional, especialmente em caso de omissão ou descumprimento das obrigações pela Parte Designada;
b) pelo atendimento às determinações da ANPD; e
c) pela garantia dos direitos dos Titulares e pela reparação dos danos causados, observado o disposto na Cláusula 17.
(OBS: Esta Seção contém Cláusulas que devem ser adotadas integralmente e sem qualquer alteração em seu texto a fim de assegurar a validade da transferência internacional de dados).
5.1. Estas Cláusulas se apresentam como mecanismo viabilizador do fluxo internacional seguro de dados pessoais, estabelecem garantias mínimas e condições válidas para a realização de Transferência Internacional de Dados e visam garantir a adoção das salvaguardas adequadas para o cumprimento dos princípios, dos direitos do Titular e do regime de proteção de dados previstos na Legislação Nacional.
6.1. Para os fins destas Cláusulas, serão consideradas as definições do art. 5° da Lei nº 13.709, de 14 de agosto de 2018, e do art. 3º do Regulamento de Transferência Internacional de Dados Pessoais, sem prejuízo de outros atos normativos expedidos pela ANPD. As Partes concordam, ainda, em considerar os termos e seus respectivos significados, conforme exposto a seguir:
a) Agentes de tratamento: o controlador e o operador;
b) ANPD: Autoridade Nacional de Proteção de Dados;
c) Cláusulas: as cláusulas-padrão contratuais aprovadas pela ANPD, que integram as Seções I, II e III;
d) Contrato Coligado: instrumento contratual firmado entre as Partes ou, pelo menos, entre uma destas e um terceiro, incluindo um Terceiro Controlador, que possua propósito comum, vinculação ou relação de dependência com o contrato que rege a Transferência Internacional de Dados;
e) Controlador: Parte ou terceiro ("Terceiro Controlador") a quem compete as decisões referentes ao tratamento de Dados Pessoais;
f) Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;
g) Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
h) Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;
i) Exportador: agente de tratamento, localizado no território nacional ou em país estrangeiro, que transfere dados pessoais para Importador;
j) Importador: agente de tratamento, localizado em país estrangeiro ou que seja organismo internacional, que recebe dados pessoais transferidos por Exportador;
k) Legislação Nacional: conjunto de dispositivos constitucionais, legais e regulamentares brasileiros a respeito da proteção de Dados Pessoais, incluindo a Lei nº 13.709, de 14 de agosto de 2018, o Regulamento de Transferência Internacional de Dados e outros atos normativos expedidos pela ANPD;
l) Lei de Arbitragem: Lei nº 9.307, de 23 de setembro de 1996;
m) Medidas de Segurança: medidas técnicas e administrativas adotadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
n) Órgão de Pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;
o) Operador: Parte ou terceiro, incluindo um Subcontratado, que realiza o tratamento de Dados Pessoais em nome do Controlador;
p) Parte Designada: Parte do contrato designada, nos termos da Cláusula 4 ("Opção A"), para cumprir, na condição de Controlador, obrigações específicas relativas à transparência, direitos dos Titulares e comunicação de incidentes de segurança;
q) Partes: Exportador e Importador;
r) Solicitação de Acesso: solicitação de atendimento obrigatório, por força de lei, regulamento ou determinação de autoridade pública, para conceder acesso aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas;
s) Subcontratado: agente de tratamento contratado pelo Importador, sem vínculo com o Exportador, para realizar tratamento de Dados Pessoais após uma Transferência Internacional de Dados;
t) Terceiro Controlador: Controlador dos Dados Pessoais que fornece instruções por escrito para a realização, em seu nome, da Transferência Internacional de Dados entre Operadores regida por estas Cláusulas, na forma da Cláusula 4 ("Opção B");
u) Titular: pessoa natural a quem se referem os Dados Pessoais que são objeto da Transferência Internacional de Dados regida por estas Cláusulas;
v) Transferência: modalidade de tratamento por meio da qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a Dados Pessoais a outro agente de tratamento;
w) Transferência Internacional de Dados: transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro; e
x) Transferência Posterior: transferência Internacional de Dados, originada de um Importador, e destinada a um terceiro, incluindo um Subcontratado, desde que não configure Solicitação de Acesso.
7.1. A Transferência Internacional de Dados objeto das presentes Cláusulas submete-se à Legislação Nacional e à fiscalização da ANPD, incluindo o poder de aplicar medidas preventivas e sanções administrativas a ambas as Partes, conforme o caso, bem como o de limitar, suspender ou proibir as transferências internacionais decorrentes destas Cláusulas ou de um Contrato Coligado.
8.1. Qualquer aplicação destas Cláusulas deve ocorrer de acordo com os seguintes termos:
a) estas Cláusulas devem sempre ser interpretadas de forma mais favorável ao Titular e de acordo com as disposições da Legislação Nacional;
b) em caso de dúvida sobre o significado de termos destas Cláusulas, aplica-se o significado que mais se alinha com a Legislação Nacional;
c) nenhum item destas Cláusulas, incluindo-se aqui um Contrato Coligado e as disposições previstas na Seção IV, poderá ser interpretado com o objetivo de limitar ou excluir a responsabilidade de qualquer uma das Partes em relação a obrigações previstas na Legislação Nacional; e
d) as disposições das Seções I e II prevalecem em caso de conflito de interpretação com Cláusulas adicionais e demais disposições previstas nas Seções III e IV deste instrumento ou em Contratos Coligados.
9.1. Em comum acordo entre as Partes, é possível a um agente de tratamento aderir a estas Cláusulas na condição de Exportador ou de Importador, por meio do preenchimento e assinatura de documento escrito, que integrará o presente instrumento.
9.2. A parte aderente terá os mesmos direitos e obrigações das Partes originárias, conforme a posição assumida de Exportador ou Importador e de acordo com a categoria de agente de tratamento correspondente.
10.1. As Partes se comprometem a adotar e, quando necessário, demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das disposições destas Cláusulas e da Legislação Nacional e, inclusive, da eficácia dessas medidas e, em especial:
a) utilizar os Dados Pessoais somente para as finalidades específicas descritas na Cláusula 2, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades, observadas, em qualquer caso, as limitações, garantias e salvaguardas previstas nestas Cláusulas;
b) garantir a compatibilidade do tratamento com as finalidades informadas ao Titular, de acordo com o contexto do tratamento;
c) limitar o tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de Dados Pessoais;
d) garantir aos Titulares, observado o disposto na Cláusula 4.
(d.1.) informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
(d.2.) consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus Dados Pessoais; e
(d.3.) a exatidão, clareza, relevância e atualização dos Dados Pessoais, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
e) adotar as medidas de segurança apropriadas e compatíveis com os riscos envolvidos na Transferência Internacional de Dados regida por estas Cláusulas;
f) não realizar tratamento de Dados Pessoais para fins discriminatórios ilícitos ou abusivos;
g) assegurar que qualquer pessoa que atue sob sua autoridade, inclusive subcontratados ou qualquer agente que com ele colabore, de forma gratuita ou onerosa, realize tratamento de dados apenas em conformidade com suas instruções e com o disposto nestas Cláusulas; e
h) manter registro das operações de tratamento dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, e apresentar a documentação pertinente à ANPD, quando solicitado.
11.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais sensíveis, as Partes aplicarão salvaguardas adicionais, incluindo medidas de segurança específicas e proporcionais aos riscos da atividade de tratamento, à natureza específica dos dados e aos interesses, direitos e garantias a serem protegidos, conforme descrito na Seção III.
12.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais de crianças e adolescentes, as Partes aplicarão salvaguardas adicionais, incluindo medidas que assegurem que o tratamento seja realizado em seu melhor interesse, nos termos da Legislação Nacional e dos instrumentos pertinentes de direito internacional.
13.1. O Exportador garante que os Dados Pessoais foram coletados, tratados e transferidos para o Importador de acordo com a Legislação Nacional.
14.1. A Parte Designada publicará, em sua página na Internet, documento contendo informações facilmente acessíveis redigidas em linguagem simples, clara e precisa sobre a realização da Transferência Internacional de Dados, incluindo, pelo menos, informações sobre:
a) a forma, a duração e a finalidade específica da transferência internacional;
b) o país de destino dos dados transferidos;
c) a identificação e os contatos da Parte Designada;
d) o uso compartilhado de dados pelas Partes e a finalidade;
e) as responsabilidades dos agentes que realizarão o tratamento;
f) os direitos do Titular e os meios para o seu exercício, incluindo canal de fácil acesso disponibilizado para atendimento às suas solicitações e o direito de peticionar contra o Controlador perante a ANPD; e
g) Transferências Posteriores, incluindo as relativas aos destinatários e à finalidade da transferência.
14.2. O documento referido no item 14.1. poderá ser disponibilizado em página específica ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade ou documento equivalente.
14.3. A pedido, as Partes devem disponibilizar, gratuitamente, ao Titular uma cópia destas Cláusulas, observados os segredos comercial e industrial.
14.4. Todas as informações disponibilizadas aos titulares, nos termos destas Cláusulas, deverão ser redigidas na língua portuguesa.
15.1. O Titular tem direito a obter da Parte Designada, em relação aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, a qualquer momento, e mediante requisição, nos termos da Legislação Nacional:
a) confirmação da existência de tratamento;
b) acesso aos dados;
c) correção de dados incompletos, inexatos ou desatualizados;
d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com estas Cláusulas e com o disposto na Legislação Nacional;
e) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da ANPD, observados os segredos comercial e industrial;
f) eliminação dos Dados Pessoais tratados com o consentimento do Titular, exceto nas hipóteses previstas na Cláusula 20;
g) informação das entidades públicas e privadas com as quais as Partes realizaram uso compartilhado de dados;
h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
i) revogação do consentimento mediante procedimento gratuito e facilitado, ratificados os tratamentos realizados antes do requerimento de eliminação;
j) revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade; e
k) informações a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.
15.2. O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nestas Cláusulas ou na Legislação Nacional.
15.3. O prazo para atendimento às solicitações previstas nesta Cláusula e no item 14.3. é de 15 (quinze) dias contados da data do requerimento do titular, ressalvada a hipótese de prazo distinto estabelecido em regulamentação específica da ANPD.
15.4. Caso a solicitação do Titular seja direcionada à Parte não designada como responsável pelas obrigações previstas nesta Cláusula ou no item 14.3., a Parte deverá:
a) informar ao Titular o canal de atendimento disponibilizado pela Parte Designada; ou
b) encaminhar a solicitação para a Parte Designada o quanto antes, a fim de viabilizar a resposta no prazo previsto no item 15.3.
15.5. As Partes deverão informar, imediatamente, aos Agentes de Tratamento com os quais tenham realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.
15.6. As Partes devem promover assistência mútua com a finalidade de atender às solicitações dos Titulares.
16.1. A Parte Designada deverá comunicar à ANPD e aos Titulares, no prazo de 3 (três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, observado o disposto na Legislação Nacional.
16.2. O Importador deve manter o registro de incidentes de segurança nos termos da Legislação Nacional.
17.1. A Parte que, em razão do exercício da atividade de tratamento de Dados Pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação às disposições destas Cláusulas e da Legislação Nacional, é obrigada a repará-lo.
17.2. O Titular poderá pleitear a reparação do dano causado por quaisquer das Partes em razão da violação destas Cláusulas.
17.3. A defesa dos interesses e dos direitos dos Titulares poderá ser pleiteada em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente acerca dos instrumentos de tutela individual e coletiva.
17.4. A Parte que atuar como Operador responde, solidariamente, pelos danos causados pelo tratamento quando descumprir as presentes Cláusulas ou quando não tiver seguido as instruções lícitas do Controlador, ressalvado o disposto no item 17.6.
17.5. Os Controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao Titular respondem, solidariamente, por estes danos, ressalvado o disposto no item 17.6.
17.6. Não caberá responsabilização das Partes se comprovado que:
a) não realizaram o tratamento de Dados Pessoais que lhes é atribuído;
b) embora tenham realizado o tratamento de Dados Pessoais que lhes é atribuído, não houve violação a estas Cláusulas ou à Legislação Nacional; ou
c) o dano é decorrente de culpa exclusiva do Titular ou de terceiro que não seja destinatário de Transferência Posterior ou subcontratado pelas Partes.
17.7. Nos termos da Legislação Nacional, o juiz poderá inverter o ônus da prova a favor do Titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo Titular resultar-lhe excessivamente onerosa.
17.8. As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos desta Cláusula podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.
17.9. A Parte que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.
18.1. O Importador somente poderá realizar Transferências Posteriores dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas se expressamente autorizado, conforme as hipóteses e condições descritas na Cláusula 3.
18.2. Em qualquer caso, o Importador:
a) deve assegurar que a finalidade da Transferência Posterior é compatível com as finalidades específicas descritas na Cláusula 2;
b) deve garantir, mediante instrumento contratual escrito, que as salvaguardas previstas nestas Cláusulas serão observadas pelo terceiro destinatário da Transferência Posterior; e
c) para fins destas Cláusulas, e em relação aos Dados Pessoais transferidos, será considerado o responsável por eventuais irregularidades praticadas pelo terceiro destinatário da Transferência Posterior.
18.3. A Transferência Posterior poderá, ainda, ser realizada com base em outro mecanismo válido de Transferência Internacional de Dados previsto na Legislação Nacional, independentemente da autorização de que trata a Cláusula 3.
19.1. O Importador notificará o Exportador e o Titular sobre Solicitação de Acesso relacionada aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, ressalvada a hipótese de vedação de notificação pela lei do país de tratamento dos dados.
19.2. O Importador adotará as medidas legais cabíveis, incluindo ações judiciais, para proteger os direitos dos Titulares sempre que houver fundamento jurídico adequado para questionar a legalidade da Solicitação de Acesso e, se for o caso, a vedação de realizar a notificação referida no item 19.1.
19.3. Para atender às solicitações da ANPD e do Exportador, o Importador deve manter registro de Solicitações de Acesso, incluindo data, solicitante, finalidade da solicitação, tipo de dados solicitados, número de solicitações recebidas e medidas legais adotadas.
20.1. As Partes deverão eliminar os Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação apenas para as seguintes finalidades:
a) cumprimento de obrigação legal ou regulatória pelo Controlador;
b) estudo por Órgão de Pesquisa, garantida, sempre que possível, a anonimização dos Dados Pessoais;
c) transferência a terceiro, desde que respeitados os requisitos previstos nestas Cláusulas e na Legislação Nacional; e
d) uso exclusivo do Controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.
20.2. Para fins desta Cláusula, considera-se que o término do tratamento ocorrerá quando:
a) alcançada a finalidade prevista nestas Cláusulas;
b) os Dados Pessoais deixarem de ser necessários ou pertinentes ao alcance da finalidade específica prevista nestas Cláusulas;
c) finalizado o período de tratamento;
d) atendida solicitação do Titular; e
e) determinado pela ANPD, quando houver violação ao disposto nestas Cláusulas ou na Legislação Nacional.
21.1. As Partes deverão adotar medidas de segurança que garantam proteção aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, mesmo após o seu término.
21.2. As Partes informarão, na Seção III, as Medidas de Segurança adotadas, considerando a natureza das informações tratadas, as características específicas e a finalidade do tratamento, o estado atual da tecnologia e os riscos para os direitos dos Titulares, especialmente no caso de dados pessoais sensíveis e de crianças e adolescentes.
21.3. As Partes deverão realizar os esforços necessários para adotar medidas periódicas de avaliação e revisão visando manter nível de segurança adequado às características do tratamento de dados.
22.1. O Importador declara que não identificou leis ou práticas administrativas do país destinatário dos Dados Pessoais que o impeçam de cumprir as obrigações assumidas nestas Cláusulas.
22.2. Sobrevindo alteração normativa que altere esta situação, o Importador notificará, de imediato, o Exportador para avaliação da continuidade do contrato.
23.1. Havendo violação das salvaguardas e garantias previstas nestas Cláusulas ou a impossibilidade de seu cumprimento pelo Importador, o Exportador deverá ser comunicado imediatamente, ressalvado o disposto no item 19.1.
23.2. Recebida a comunicação de que trata o item 23.1 ou verificado o descumprimento destas Cláusulas pelo Importador, o Exportador adotará as providências pertinentes para assegurar a proteção aos direitos dos Titulares e a conformidade da Transferência Internacional de Dados com a Legislação Nacional e as presentes Cláusulas, podendo, conforme o caso:
a) suspender a Transferência Internacional de Dados;
b) solicitar a devolução dos Dados Pessoais, sua transferência a um terceiro, ou a sua eliminação; e
c) rescindir o contrato.
24.1. Aplica-se a estas Cláusulas a legislação brasileira e qualquer controvérsia entre as Partes decorrente destas Cláusulas será resolvida perante os tribunais competentes do Brasil, observado, se for o caso, o foro eleito pelas Partes na Seção IV.
24.2. Os Titulares podem ajuizar ações judiciais contra o Exportador ou o Importador, conforme sua escolha, perante os tribunais competentes no Brasil, inclusive naqueles localizados no local de sua residência.
24.3. Em comum acordo, as Partes poderão se valer da arbitragem para resolver os conflitos decorrentes destas Cláusulas, desde que realizada no Brasil e conforme as disposições da Lei de Arbitragem.
(OBS: Nesta Seção deve ser incluído o detalhamento das medidas de segurança adotadas, incluindo medidas específicas para a proteção de dados sensíveis e de crianças e adolescentes. As medidas podem contemplar, entre outros, os seguintes aspectos, conforme indicados no quadro abaixo).
| (i) governança e supervisão de processos internos: | Plano de resposta a incidentes documentado, segundo o qual o Importador comunica ao Exportador a ocorrência de incidente de segurança confirmado em até 72 (setenta e duas) horas; registro de incidentes de segurança e de Solicitações de Acesso; acesso administrativo aos sistemas restrito e autenticado individualmente; e avaliação independente do programa de segurança do Importador, mais recentemente um relatório SOC 2 Tipo 1 para a categoria de critérios de serviços de confiança Segurança. |
| (ii) medidas de segurança técnicas e administrativas, incluindo medidas para garantir a segurança das operações realizadas, tais como a coleta, a transmissão e o armazenamento dos dados: | Criptografia dos Dados Pessoais em repouso e criptografia em trânsito por meio de HTTPS/TLS; armazenamento de senhas apenas na forma de hashes com salt, não reversíveis, e bloqueio automático de contas após repetidas tentativas de acesso malsucedidas; separação dos dados de cada Organização, sem acesso entre Organizações, com permissões atribuídas por administrador designado pelo Exportador; operação dos sistemas em redes privadas; registro e monitoramento da atividade da infraestrutura, com alertas automáticos para eventos suspeitos; e cópias de segurança noturnas, mantidas e copiadas para uma segunda localização. Os Serviços não possuem campos destinados a Dados Pessoais Sensíveis. As medidas descritas na seção "Security" do Data Processing Agreement integram esta Seção. |
(OBS: Nesta Seção, de preenchimento e de divulgação facultativos, podem ser incluídas Cláusulas Adicionais e Anexos, a critério das Partes, para disciplinar, entre outras, questões de natureza comercial, rescisão contratual, prazo de vigência e eleição de foro no Brasil. Conforme previsto no Regulamento de Transferência Internacional de Dados, as Cláusulas estabelecidas nesta Seção ou em Contratos Coligados não poderão excluir, modificar ou contrariar, direta ou indiretamente, as Cláusulas previstas nas Seções I, II e III).
IV.1. Formalização. Estas Cláusulas integram, como anexo, o Data Processing Agreement do Importador e, por meio dele, o Contrato celebrado entre o Exportador e o Importador, conforme definido nos Termos de Serviço do Cliente (Customer Terms of Service). Ao celebrar o Contrato, inclusive por meio de aceite eletrônico, o Exportador e o Importador consideram-se signatários destas Cláusulas, incluindo as Seções I a IV, a partir da data em que o Contrato produz efeitos. Quando o Contrato incluir uma alteração dos Termos de Serviço do Cliente (Customer Terms Amendment) assinada por ambas as Partes, estas Cláusulas integram também esse instrumento.
IV.2. Prevalência. Em caso de conflito entre estas Cláusulas e qualquer outra disposição do Contrato, incluindo as disposições dos Termos de Serviço do Cliente sobre lei aplicável, solução de controvérsias e limitação de responsabilidade, prevalecem estas Cláusulas. Nenhuma disposição do Contrato limita ou exclui a responsabilidade de qualquer das Partes perante os Titulares nos termos destas Cláusulas e da Legislação Nacional.
IV.3. Alterações. A faculdade do Importador de modificar os Termos de Serviço do Cliente não se estende ao texto das Seções I e II destas Cláusulas, que é adotado integralmente e sem alteração. As informações complementadas pelas Partes nas Seções I e III poderão ser atualizadas pelo Importador mediante aviso ao Exportador, sem redução do nível de proteção conferido aos Dados Pessoais.
IV.4. Subcontratados. Para os fins da Cláusula 3, o Exportador autoriza o Importador a contratar novos Subcontratados como destinatários de Transferências Posteriores, desde que o Importador atualize a página Subprocessors com pelo menos 30 (trinta) dias de antecedência e observe a Cláusula 18. O Exportador poderá se opor a um novo Subcontratado nos termos do Data Processing Agreement.
IV.5. Foro. As Partes não elegem foro específico, aplicando-se o disposto na Cláusula 24.
IV.6. Idioma. Estas Cláusulas são adotadas na língua portuguesa. A tradução para o inglês publicada pelo Importador tem caráter meramente informativo e, em caso de divergência, prevalece o texto em português.
IV.7. Vigência. Estas Cláusulas vigoram enquanto vigorar o Contrato e, após o seu término, enquanto o Importador mantiver Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas.
Local, data. Os da celebração do Contrato, conforme o item IV.1 desta Seção.
Assinaturas. As Partes consideram-se signatárias destas Cláusulas mediante a celebração do Contrato, conforme o item IV.1 desta Seção.
This translation is provided for convenience only and does not form part of the clauses. If it differs from the Portuguese text above, the Portuguese text governs.
ANNEX II
STANDARD CONTRACTUAL CLAUSES
(NOTE: As provided in Annex I - International Data Transfer Regulation, the Clauses set out in this ANNEX II may form part of a contract entered into specifically to govern the international data transfer, or of a contract with a broader object, including through the signing of an amendment by the exporter and the importer involved in the international data transfer operation).
(NOTE: This Section contains Clauses that may be supplemented by the Parties, exclusively in the spaces indicated and in accordance with the guidance provided. The definitions of the terms used in these Clauses are set out in CLAUSE 6).
1.1. By this contractual instrument, the Exporter and the Importer (hereinafter, Parties), identified below, resolve to adopt the standard contractual clauses (hereinafter Clauses) approved by the National Data Protection Authority (ANPD) to govern the International Data Transfer described in Clause 2, in accordance with the provisions of the National Legislation.
| Name: | The Customer, as identified in the Contract. |
| Qualification: | As recorded in the Contract. |
| Main address: | As recorded in the Contract. |
| Email address: | As recorded in the Contract. |
| Contact for the Data Subject: | The service channel the Customer identifies in the document provided for in Clause 14. |
| Other information: | Uses the Importer's Services under the Contract. |
(X) Exporter/Controller) ( ) Exporter/Processor)
(NOTE: mark the option corresponding to "Controller" or "Processor" and complete the identification information as indicated in the table).
| Name: | Lean Sensory Systems, Inc., doing business as DraughtLab. |
| Qualification: | A corporation organized under the laws of the State of New York, United States of America. |
| Main address: | PO Box 585, Webster, NY 14580-0585, United States of America. |
| Email address: | info@sampleox.com |
| Contact for the Data Subject: | Privacy Contact, info@sampleox.com. |
| Other information: | Provides, maintains, secures and supports the Services the Exporter uses. |
( ) Importer/Controller (X) Importer/Processor
(NOTE: mark the option corresponding to "Controller" or "Processor" and complete the identification information as indicated in the table).
2.1. These Clauses apply to the International Data Transfers from the Exporter to the Importer, as described below.
Description of the international data transfer: The Exporter and its Authorized Users submit Personal Data to the Importer's Services, hosted in the United States of America, where it is stored, organized, retrieved, analyzed and presented in order to provide the Services. The transfer is continuous for as long as the Exporter uses the Services.
| Main purposes of the transfer: | Providing, maintaining, securing and supporting the Services under the Contract. |
| Categories of personal data transferred: | Sensory evaluation results, ratings and comments, images attached to them, and training and assessment results, each associated with the Authorized User who submitted it. No Sensitive Personal Data is transferred: the Services provide no fields for that category of data. |
| Data retention period: | For the duration of the Contract and, after it ends, as described in the Customer Terms of Service. Backups are retained for 30 (thirty) days. |
| Other information: | The Data Subjects are the Exporter's Authorized Users, who use the Services in a professional capacity. |
(NOTE: complete in as much detail as possible with the information relating to the international transfer)
(NOTE: choose between "OPTION A" and "OPTION B", as applicable.).
OPTION B. 3.1. The Importer may carry out Subsequent Transfers of the Personal Data subject to the International Data Transfer governed by these Clauses in the cases and under the conditions described below, provided that the provisions of Clause 18 are observed.
| Main purposes of the transfer: | Hosting and storage of the Services (Amazon Web Services, Inc., United States); delivery by email of reports and training results to Authorized Users and other recipients designated by the Exporter or its Authorized Users (Twilio SendGrid, United States); and error monitoring and diagnostics for the Services (Raygun Limited, New Zealand). |
| Categories of personal data transferred: | Amazon Web Services: all categories described in Clause 2. Twilio SendGrid: sensory evaluation results, comments and images contained in reports sent by email, and training results. Raygun: Personal Data described in Clause 2 that is incidentally contained in error reports. |
| Data retention period: | Amazon Web Services: as described in Clause 2. Raygun: 180 (one hundred and eighty) days. Twilio SendGrid: as provided in the Subcontractor's data processing terms. |
| Other information: | The location and role of each Subcontractor are set out on the Subprocessors page. Each Subcontractor is bound to the Importer by a written data processing agreement. |
(NOTE: complete in as much detail as possible with the information relating to the authorized subsequent transfers).
(NOTE: choose between "OPTION A" and "OPTION B", as applicable)
OPTION A. ("Option A" is exclusively for international data transfers in which at least one of the Parties acts as Controller)
4.1. Without prejudice to the duty of mutual assistance and the general obligations of the Parties, the Designated Party below, in its capacity as Controller, shall be responsible for complying with the following obligations set out in these Clauses:
a) Responsible for publishing the document provided for in Clause 14;
(X) Exporter ( ) Importer
b) Responsible for responding to the data subject requests addressed in CLAUSE 15:
(X) Exporter ( ) Importer
c) Responsible for communicating security incidents as provided for in Clause 16:
(X) Exporter ( ) Importer
(NOTE: in items "a", "b" and "c", mark the option corresponding to: (i) "Exporter" or "Importer", where only one of the Parties acts as controller; or (ii) mark both options, where both Parties act as controllers. Responsibility for complying with the obligations referred to in Clauses 14 to 16 may not be assigned to the Party acting as Processor. If it is later found that the Designated Party acts as Processor, item 4.2 shall apply)
4.2. For the purposes of these Clauses, if it is later found that the Party designated under item 4.1. acts as Processor, the Controller shall remain responsible:
a) for complying with the obligations set out in Clauses 14, 15 and 16 and the other provisions of the National Legislation, especially in the event of omission or non-compliance by the Designated Party;
b) for complying with the determinations of the ANPD; and
c) for guaranteeing the rights of Data Subjects and for redressing damage caused, subject to Clause 17.
(NOTE: This Section contains Clauses that must be adopted in full and without any alteration to their text in order to ensure the validity of the international data transfer).
5.1. These Clauses serve as a mechanism enabling the secure international flow of personal data, establish minimum guarantees and valid conditions for carrying out an International Data Transfer, and aim to ensure the adoption of appropriate safeguards for compliance with the principles, the rights of the Data Subject and the data protection regime set out in the National Legislation.
6.1. For the purposes of these Clauses, the definitions in art. 5 of Law No. 13,709 of August 14, 2018, and in art. 3 of the International Personal Data Transfer Regulation shall apply, without prejudice to other normative acts issued by the ANPD. The Parties further agree to apply the following terms and their respective meanings:
a) Processing agents: the controller and the processor;
b) ANPD: National Data Protection Authority;
c) Clauses: the standard contractual clauses approved by the ANPD, comprising Sections I, II and III;
d) Related Contract: a contractual instrument entered into between the Parties, or between at least one of them and a third party, including a Third-Party Controller, that has a common purpose, connection or dependency relationship with the contract governing the International Data Transfer;
e) Controller: a Party or third party ("Third-Party Controller") responsible for decisions concerning the processing of Personal Data;
f) Personal Data: information relating to an identified or identifiable natural person;
g) Sensitive Personal Data: personal data concerning racial or ethnic origin, religious belief, political opinion, membership of a trade union or of an organization of a religious, philosophical or political nature, data concerning health or sex life, and genetic or biometric data, when linked to a natural person;
h) Deletion: removal of data or a set of data stored in a database, regardless of the procedure used;
i) Exporter: a processing agent, located in the national territory or in a foreign country, that transfers personal data to an Importer;
j) Importer: a processing agent, located in a foreign country or that is an international organization, that receives personal data transferred by an Exporter;
k) National Legislation: the body of Brazilian constitutional, legal and regulatory provisions on the protection of Personal Data, including Law No. 13,709 of August 14, 2018, the International Data Transfer Regulation and other normative acts issued by the ANPD;
l) Arbitration Law: Law No. 9,307 of September 23, 1996;
m) Security Measures: technical and administrative measures adopted to protect personal data from unauthorized access and from accidental or unlawful destruction, loss, alteration, communication or dissemination;
n) Research Body: a body or entity of the direct or indirect public administration, or a non-profit private legal entity lawfully incorporated under Brazilian law with its headquarters and jurisdiction in the country, whose institutional mission or corporate or statutory purpose includes basic or applied research of a historical, scientific, technological or statistical nature;
o) Processor: a Party or third party, including a Subcontractor, that processes Personal Data on behalf of the Controller;
p) Designated Party: the Party to the contract designated, under Clause 4 ("Option A"), to fulfill, in its capacity as Controller, specific obligations relating to transparency, Data Subject rights and the communication of security incidents;
q) Parties: Exporter and Importer;
r) Access Request: a request that must be complied with, by force of law, regulation or determination of a public authority, to grant access to the Personal Data subject to the International Data Transfer governed by these Clauses;
s) Subcontractor: a processing agent engaged by the Importer, with no link to the Exporter, to process Personal Data after an International Data Transfer;
t) Third-Party Controller: the Controller of the Personal Data who gives written instructions for carrying out, on its behalf, the International Data Transfer between Processors governed by these Clauses, under Clause 4 ("Option B");
u) Data Subject: the natural person to whom the Personal Data subject to the International Data Transfer governed by these Clauses relates;
v) Transfer: a form of processing by which a processing agent transmits, shares or provides access to Personal Data to another processing agent;
w) International Data Transfer: the transfer of Personal Data to a foreign country or to an international organization of which the country is a member; and
x) Subsequent Transfer: an International Data Transfer originating from an Importer and destined for a third party, including a Subcontractor, provided it does not constitute an Access Request.
7.1. The International Data Transfer subject to these Clauses is subject to the National Legislation and to oversight by the ANPD, including the power to apply preventive measures and administrative sanctions to both Parties, as applicable, and to limit, suspend or prohibit international transfers arising from these Clauses or from a Related Contract.
8.1. Any application of these Clauses shall take place in accordance with the following terms:
a) these Clauses shall always be interpreted in the manner most favorable to the Data Subject and in accordance with the provisions of the National Legislation;
b) in case of doubt about the meaning of terms in these Clauses, the meaning most consistent with the National Legislation applies;
c) no item of these Clauses, including a Related Contract and the provisions of Section IV, may be interpreted so as to limit or exclude the liability of either Party in relation to obligations under the National Legislation; and
d) the provisions of Sections I and II prevail in the event of a conflict of interpretation with additional Clauses and other provisions of Sections III and IV of this instrument or of Related Contracts.
9.1. By mutual agreement between the Parties, a processing agent may accede to these Clauses as an Exporter or Importer by completing and signing a written document, which shall form part of this instrument.
9.2. The acceding party shall have the same rights and obligations as the original Parties, according to the position it assumes as Exporter or Importer and to the corresponding category of processing agent.
10.1. The Parties undertake to adopt and, where necessary, demonstrate the adoption of effective measures capable of proving observance of and compliance with the provisions of these Clauses and of the National Legislation, including the effectiveness of those measures, and in particular:
a) to use the Personal Data only for the specific purposes described in Clause 2, with no possibility of further processing incompatible with those purposes, subject in any case to the limitations, guarantees and safeguards set out in these Clauses;
b) to ensure that the processing is compatible with the purposes communicated to the Data Subject, according to the context of the processing;
c) to limit processing to the minimum necessary to achieve its purposes, covering data that is relevant, proportionate and not excessive in relation to the purposes of the processing of Personal Data;
d) to guarantee to Data Subjects, subject to Clause 4.
(d.1.) clear, precise and easily accessible information about the processing and the respective processing agents, subject to commercial and industrial secrets;
(d.2.) easy and free consultation on the form and duration of the processing, and on the completeness of their Personal Data; and
(d.3.) the accuracy, clarity, relevance and updating of the Personal Data, as needed and to fulfill the purpose of its processing;
e) to adopt security measures appropriate to and compatible with the risks involved in the International Data Transfer governed by these Clauses;
f) not to process Personal Data for unlawful or abusive discriminatory purposes;
g) to ensure that any person acting under its authority, including subcontractors or any agent that collaborates with it, whether free of charge or for consideration, processes data only in accordance with its instructions and with these Clauses; and
h) to keep a record of the processing operations of the Personal Data subject to the International Data Transfer governed by these Clauses, and to present the relevant documentation to the ANPD on request.
11.1. If the International Data Transfer involves sensitive Personal Data, the Parties shall apply additional safeguards, including specific security measures proportionate to the risks of the processing activity, the specific nature of the data and the interests, rights and guarantees to be protected, as described in Section III.
12.1. If the International Data Transfer involves Personal Data of children and adolescents, the Parties shall apply additional safeguards, including measures ensuring that the processing is carried out in their best interest, in accordance with the National Legislation and the relevant instruments of international law.
13.1. The Exporter warrants that the Personal Data was collected, processed and transferred to the Importer in accordance with the National Legislation.
14.1. The Designated Party shall publish on its website a document containing easily accessible information, written in simple, clear and precise language, about the International Data Transfer, including at least information on:
a) the form, duration and specific purpose of the international transfer;
b) the country of destination of the transferred data;
c) the identification and contact details of the Designated Party;
d) the shared use of data by the Parties and its purpose;
e) the responsibilities of the agents that will carry out the processing;
f) the rights of the Data Subject and the means of exercising them, including an easily accessible channel for handling their requests and the right to petition the ANPD against the Controller; and
g) Subsequent Transfers, including those relating to the recipients and the purpose of the transfer.
14.2. The document referred to in item 14.1. may be made available on a specific page or integrated, prominently and in an easily accessible manner, into the Privacy Policy or an equivalent document.
14.3. On request, the Parties shall provide the Data Subject, free of charge, with a copy of these Clauses, subject to commercial and industrial secrets.
14.4. All information made available to data subjects under these Clauses shall be written in the Portuguese language.
15.1. The Data Subject has the right to obtain from the Designated Party, in relation to the Personal Data subject to the International Data Transfer governed by these Clauses, at any time and on request, in accordance with the National Legislation:
a) confirmation of the existence of processing;
b) access to the data;
c) correction of incomplete, inaccurate or outdated data;
d) anonymization, blocking or deletion of unnecessary or excessive data, or of data processed in non-compliance with these Clauses and the National Legislation;
e) portability of the data to another provider of a service or product, on express request, in accordance with ANPD regulations, subject to commercial and industrial secrets;
f) deletion of Personal Data processed with the Data Subject's consent, except in the cases provided for in Clause 20;
g) information about the public and private entities with which the Parties have shared data;
h) information about the possibility of not giving consent and about the consequences of refusal;
i) revocation of consent through a free and simple procedure, ratifying the processing carried out before the request for deletion;
j) review of decisions taken solely on the basis of automated processing of personal data that affect their interests, including decisions intended to define their personal, professional, consumer or credit profile or aspects of their personality; and
k) information on the criteria and procedures used for automated decision-making, subject to commercial and industrial secrets.
15.2. The data subject may object to processing carried out on the basis of one of the grounds that do not require consent, in the event of non-compliance with these Clauses or the National Legislation.
15.3. The deadline for responding to the requests provided for in this Clause and in item 14.3. is 15 (fifteen) days from the date of the data subject's request, unless a different deadline is established in specific ANPD regulations.
15.4. If the Data Subject's request is directed to the Party not designated as responsible for the obligations under this Clause or item 14.3., that Party shall:
a) inform the Data Subject of the service channel provided by the Designated Party; or
b) forward the request to the Designated Party as soon as possible, so that a response can be given within the period provided for in item 15.3.
15.5. The Parties shall immediately inform the Processing Agents with which they have shared data of the correction, deletion, anonymization or blocking of the data, so that they may repeat the same procedure, except where such communication is demonstrably impossible or involves disproportionate effort.
15.6. The Parties shall provide mutual assistance in order to respond to Data Subjects' requests.
16.1. The Designated Party shall notify the ANPD and the Data Subjects, within 3 (three) business days, of the occurrence of a security incident that may result in relevant risk or damage to the Data Subjects, in accordance with the National Legislation.
16.2. The Importer shall keep a record of security incidents in accordance with the National Legislation.
17.1. A Party that, in the course of its Personal Data processing activity, causes material, moral, individual or collective damage in violation of the provisions of these Clauses and of the National Legislation is obliged to redress it.
17.2. The Data Subject may seek redress for damage caused by any of the Parties as a result of a violation of these Clauses.
17.3. The defense of the interests and rights of Data Subjects may be pursued in court, individually or collectively, in the manner provided for in the relevant legislation on individual and collective protection instruments.
17.4. The Party acting as Processor is jointly and severally liable for damage caused by the processing when it fails to comply with these Clauses or has not followed the Controller's lawful instructions, subject to item 17.6.
17.5. Controllers directly involved in the processing from which damage to the Data Subject resulted are jointly and severally liable for that damage, subject to item 17.6.
17.6. The Parties shall not be held liable if it is proven that:
a) they did not carry out the processing of Personal Data attributed to them;
b) although they carried out the processing of Personal Data attributed to them, there was no violation of these Clauses or the National Legislation; or
c) the damage results from the exclusive fault of the Data Subject or of a third party that is not a recipient of a Subsequent Transfer or subcontracted by the Parties.
17.7. In accordance with the National Legislation, the court may reverse the burden of proof in favor of the Data Subject when, in its judgment, the allegation is plausible, the Data Subject lacks the means to produce evidence, or producing evidence would be excessively burdensome for the Data Subject.
17.8. Actions for redress of collective damage seeking to establish liability under this Clause may be brought collectively in court, in accordance with the relevant legislation.
17.9. A Party that redresses damage to the data subject has a right of recourse against the other responsible parties, to the extent of their participation in the harmful event.
18.1. The Importer may carry out Subsequent Transfers of the Personal Data subject to the International Data Transfer governed by these Clauses only if expressly authorized, in accordance with the cases and conditions described in Clause 3.
18.2. In any case, the Importer:
a) shall ensure that the purpose of the Subsequent Transfer is compatible with the specific purposes described in Clause 2;
b) shall guarantee, by means of a written contractual instrument, that the safeguards provided for in these Clauses will be observed by the third-party recipient of the Subsequent Transfer; and
c) for the purposes of these Clauses, and in relation to the transferred Personal Data, shall be considered responsible for any irregularities committed by the third-party recipient of the Subsequent Transfer.
18.3. A Subsequent Transfer may also be carried out on the basis of another valid International Data Transfer mechanism provided for in the National Legislation, regardless of the authorization referred to in Clause 3.
19.1. The Importer shall notify the Exporter and the Data Subject of any Access Request relating to the Personal Data subject to the International Data Transfer governed by these Clauses, except where notification is prohibited by the law of the country in which the data is processed.
19.2. The Importer shall take appropriate legal measures, including legal action, to protect the rights of Data Subjects whenever there are adequate legal grounds to challenge the legality of the Access Request and, where applicable, the prohibition on making the notification referred to in item 19.1.
19.3. To meet requests from the ANPD and the Exporter, the Importer shall keep a record of Access Requests, including the date, requester, purpose of the request, type of data requested, number of requests received and legal measures taken.
20.1. The Parties shall delete the Personal Data subject to the International Data Transfer governed by these Clauses after the end of the processing, within the scope and technical limits of the activities, with retention permitted only for the following purposes:
a) compliance with a legal or regulatory obligation by the Controller;
b) study by a Research Body, ensuring, whenever possible, the anonymization of the Personal Data;
c) transfer to a third party, provided that the requirements of these Clauses and the National Legislation are met; and
d) exclusive use by the Controller, with access by third parties prohibited, and provided that the data is anonymized.
20.2. For the purposes of this Clause, processing is considered to end when:
a) the purpose set out in these Clauses has been achieved;
b) the Personal Data is no longer necessary or relevant to achieving the specific purpose set out in these Clauses;
c) the processing period has ended;
d) a request from the Data Subject has been fulfilled; and
e) the ANPD so determines, where there has been a violation of these Clauses or of the National Legislation.
21.1. The Parties shall adopt security measures that guarantee the protection of the Personal Data subject to the International Data Transfer governed by these Clauses, even after it ends.
21.2. The Parties shall state, in Section III, the Security Measures adopted, taking into account the nature of the information processed, the specific characteristics and purpose of the processing, the current state of technology and the risks to the rights of Data Subjects, especially in the case of sensitive personal data and data of children and adolescents.
21.3. The Parties shall make the necessary efforts to adopt periodic assessment and review measures in order to maintain a level of security appropriate to the characteristics of the data processing.
22.1. The Importer declares that it has not identified any laws or administrative practices in the country of destination of the Personal Data that prevent it from fulfilling the obligations assumed under these Clauses.
22.2. If a regulatory change alters this situation, the Importer shall immediately notify the Exporter so that the continuation of the contract can be assessed.
23.1. In the event of a violation of the safeguards and guarantees provided for in these Clauses, or of the Importer being unable to comply with them, the Exporter shall be notified immediately, subject to item 19.1.
23.2. On receiving the communication referred to in item 23.1, or on finding that the Importer has failed to comply with these Clauses, the Exporter shall take the appropriate measures to ensure the protection of the rights of Data Subjects and the conformity of the International Data Transfer with the National Legislation and these Clauses, and may, as the case may be:
a) suspend the International Data Transfer;
b) request the return of the Personal Data, its transfer to a third party, or its deletion; and
c) terminate the contract.
24.1. Brazilian legislation applies to these Clauses, and any dispute between the Parties arising from these Clauses shall be resolved before the competent courts of Brazil, observing, where applicable, the forum chosen by the Parties in Section IV.
24.2. Data Subjects may bring legal proceedings against the Exporter or the Importer, at their choice, before the competent courts in Brazil, including those located in their place of residence.
24.3. By mutual agreement, the Parties may resort to arbitration to resolve disputes arising from these Clauses, provided that it is conducted in Brazil and in accordance with the provisions of the Arbitration Law.
(NOTE: This Section must include details of the security measures adopted, including specific measures for the protection of sensitive data and data of children and adolescents. The measures may cover, among others, the following aspects, as indicated in the table below).
| (i) governance and supervision of internal processes: | A documented incident response plan, under which the Importer notifies the Exporter of a confirmed security incident within 72 (seventy-two) hours; records of security incidents and of Access Requests; administrative access to systems restricted and individually authenticated; and independent assessment of the Importer's security program, most recently a SOC 2 Type 1 report for the Security trust services category. |
| (ii) technical and administrative security measures, including measures to ensure the security of the operations carried out, such as the collection, transmission and storage of data: | Encryption of Personal Data at rest, and encryption in transit using HTTPS/TLS; storage of passwords only as salted, non-reversible hashes, and automatic account lockout after repeated failed sign-in attempts; separation of each Organization's data, with no access between Organizations, and permissions assigned by an administrator the Exporter designates; operation of systems on private networks; logging and monitoring of infrastructure activity, with automated alerting for suspicious events; and nightly backups, retained and copied to a second location. The Services provide no fields for Sensitive Personal Data. The measures described in the "Security" section of the Data Processing Agreement form part of this Section. |
(NOTE: In this Section, which is optional to complete and disclose, Additional Clauses and Annexes may be included, at the Parties' discretion, to govern, among other things, commercial matters, contract termination, term of validity and choice of forum in Brazil. As provided in the International Data Transfer Regulation, the Clauses established in this Section or in Related Contracts may not exclude, modify or contradict, directly or indirectly, the Clauses set out in Sections I, II and III).
IV.1. Execution. These Clauses form part of the Importer's Data Processing Agreement as an annex and, through it, of the Contract between the Exporter and the Importer, as defined in the Customer Terms of Service. By entering into the Contract, including by electronic acceptance, the Exporter and the Importer are each deemed to have signed these Clauses, including Sections I to IV, as of the date the Contract takes effect. Where the Contract includes a Customer Terms Amendment signed by both Parties, these Clauses also form part of that instrument.
IV.2. Precedence. If these Clauses conflict with any other provision of the Contract, including the provisions of the Customer Terms of Service on governing law, dispute resolution and limitation of liability, these Clauses prevail. Nothing in the Contract limits or excludes either Party's liability to Data Subjects under these Clauses and the National Legislation.
IV.3. Changes. The Importer's right to modify the Customer Terms of Service does not extend to the text of Sections I and II of these Clauses, which is adopted in full and without alteration. The information the Parties have supplied in Sections I and III may be updated by the Importer on notice to the Exporter, without reducing the level of protection given to the Personal Data.
IV.4. Subcontractors. For the purposes of Clause 3, the Exporter authorizes the Importer to engage new Subcontractors as recipients of Subsequent Transfers, provided that the Importer updates the Subprocessors page at least 30 (thirty) days in advance and complies with Clause 18. The Exporter may object to a new Subcontractor as provided in the Data Processing Agreement.
IV.5. Forum. The Parties do not choose a specific forum, and Clause 24 applies.
IV.6. Language. These Clauses are adopted in the Portuguese language. The English translation published by the Importer is for information only, and if the two differ, the Portuguese text prevails.
IV.7. Term. These Clauses remain in effect for as long as the Contract is in effect and, after it ends, for as long as the Importer holds Personal Data subject to the International Data Transfer governed by these Clauses.
Place, date. Those of the Contract, as provided in item IV.1 of this Section.
Signatures. The Parties are deemed to have signed these Clauses by entering into the Contract, as provided in item IV.1 of this Section.
If you have questions about these clauses, please contact Our Privacy Contact at info@sampleox.com.