Acordo de Privacidade de Dados do Lyve Services

A parte contratada da Seagate identificada no seu contrato do Lyve Services (“Seagate”) e você (“Empresa”) (cada um uma “parte” e, coletivamente, as “partes”) celebraram um contrato do Lyve Services (o “Contrato”) segundo o qual a Seagate pode Processar Informações Pessoais da Empresa (conforme definido abaixo) para fornecer determinados serviços para a Empresa (“Serviços”). Este Contrato de Privacidade de Dados, inclusive todos os cronogramas e anexos (este DPA”), rege o Processamento de Informações Pessoais da Empresa pela Seagate e deve fazer parte e ser incorporado por referência ao Contrato, entrando em vigor na data de execução do mesmo (“Data de Vigência”).

As partes reconhecem e concordam com o seguinte:

1. DEFINIÇÕES
   1. “Afiliada” significa qualquer entidade que controla, é controlada ou está sob o controle comum da parte em questão, onde “controle” significa propriedade ou direito de controlar mais de 50% dos valores mobiliários com direito a voto dessa entidade.
   2. “Lei(s) de Privacidade Aplicável(is)” significa todas as leis, regras e regulamentos mundiais de proteção de dados, segurança de dados e privacidade aplicáveis às Informações Pessoais da Empresa em questão, inclusive, quando aplicável: (i) Lei de Proteção de Dados da UE; (ii) a Lei de Proteção de Dados Pessoais de Singapura de 2012 (No. 26 de 2012); (iii) todas as leis, regras e regulamentos dos Estados Unidos, incluindo as Leis de Privacidade do Estado dos EUA; e (iv) padrões do setor aplicáveis apropriados à natureza das Informações Pessoais da Empresa.
   3. “Violação de Privacidade de Dados” significa qualquer violação confirmada de segurança que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada, acesso, aquisição de Informações Pessoais da Empresa ou qualquer outro Processamento não autorizado de Informações Pessoais da Empresa.
   4. “Lei(s) de Proteção de Dados da UE" significa todas as leis e regulamentos de proteção de dados aplicáveis à União Europeia (“UE”) ou o Espaço Econômico Europeu (“EEE”), inclusive (a) o Regulamento Geral de Proteção de Dados 2016/679 (“ GDPR da UE ” ou “GDPR ”); (b) o GDPR, conforme salvo na lei do Reino Unido em virtude da seção 3 da Lei (Retirada) da União Europeia do Reino Unido e a Lei de Proteção de Dados do Reino Unido de 2018 (o “GDPR do Reino Unido”); (c) a Lei Federal de Proteção a Dados da Suíça de 19 de junho de 1992 e suas normas correspondentes (“DPA da Suíça”); (d) Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrônicas; e (e) implementações nacionais aplicáveis​de (a), (b) e (c).
   5. “Informações Pessoais da Empresa” significa quaisquer Dados Pessoais Processados pela Seagate em nome da Empresa com relação a este Contrato, conforme descrito mais especificamente no Anexo A deste DPA.
   6. “Cláusulas Modelo” ou “SCCs” significa (i) onde o GDPR se aplica, as cláusulas contratuais anexadas à Decisão de Implementação 2021/914 da Comissão Europeia, de 4 de junho de 2021, sobre cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros, conforme o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (“SCCs da UE”); e (ii) onde o GDPR do Reino Unido se aplica, cláusulas de proteção de dados padrão para Processadores adotadas de acordo com o Artigo 46(2)(c) ou (d) do GDPR do Reino Unido (“SCCs do Reino Unido”) (conforme alterado, substituído ou atualizado de tempos em tempos).
   7. "Dados Pessoais" significa qualquer informação que é protegida como "dados pessoais", "informações pessoais" ou "informações pessoalmente identificáveis" ou termos definidos de forma semelhante de acordo com a Lei de Privacidade Aplicável.
   8. “Processar” ou “Processamento” significa, entre outros, operações realizadas em Informações Pessoais da Empresa, seja por meio automatizado ou não, como coletar, registrar, organizar, estruturar, alterar, usar, acessar, divulgar, disseminar, copiar, transferir, armazenar ou de alguma forma reter, excluir, alinhar, combinar, restringir, adaptar, recuperar, consultar, destruir ou descartar Informações Pessoais da Empresa.
   9. “Transferência Restrita” significa: (i) onde o GDPR se aplica, uma transferência de Dados Pessoais da Empresa do EEE para um país fora do EEE que não está sujeito a uma determinação de adequação pela Comissão Europeia; (ii) onde o GDPR do Reino Unido se aplicar, uma transferência de Dados Pessoais da Empresa do Reino Unido para qualquer outro país que não esteja sujeito aos regulamentos de adequação conforme a Seção 17A da Lei de Proteção de Dados do Reino Unido de 2018; e (iii) quando o DPA da Suíça se aplicar, uma transferência de Dados Pessoais da Empresa da Suíça para qualquer outro país que não seja baseada em uma decisão de adequação reconhecida pela lei de proteção de dados suíça.
   10. “Informações Sensíveis” significa qualquer um dos seguintes tipos de Informações Pessoais da Seagate: (i) número de segurança social, número de identificação de cadastro de pessoas físicas, número de passaporte, número de carteira de habilitação ou outro número de identificação emitido pelo governo; (ii) detalhes de cartão de crédito ou débito ou número de conta bancária, com ou sem qualquer código ou senha que permita acessar a conta ou o histórico de crédito; ou (iii) informações sobre raça, religião, etnia, vida ou práticas sexuais ou orientação sexual, informações médicas ou de saúde, informações genéticas ou biométricas, modelos biométricos, crenças políticas ou filosóficas, filiação a sindicatos ou partidos políticos, informações de verificação de antecedentes ou dados judiciais, como registros criminais ou informações sobre outros processos judiciais ou administrativos, juntamente com quaisquer Informações Pessoais da Empresa de crianças protegidas por quaisquer leis de proteção de dados de crianças, e quaisquer outras informações ou combinações de informações que se enquadrem na definição de “categorias especiais de dados” ou termos definidos de forma semelhante no GDPR ou outra Lei de Privacidade cabível.
   11. “Subprocessador” significa quaisquer terceiros envolvidos pelo Seagate ou por qualquer outro Subprocessador que terá acesso, receberá ou Processará quaisquer Informações pessoais da Seagate.
   12. “Pessoal da Seagate ” significa qualquer funcionário, contratado, Subprocessador ou agente da Seagate que a Seagate autoriza a Processar Informações Pessoais da Empresa.
   13. “Leis de Privacidade dos Estados Unidos " significa todas as leis, regras e regulamentos de privacidade de dados, proteção de dados e segurança cibernética aplicáveis aos quais os Dados Pessoais da Empresa estão sujeitos.
   14. Os termos “Consumidor”, “Controlador(a)”, “Titular de Dados”, “Processador(a)”, “Autoridade Supervisora”, “Estabelecimento Comercial”, “Finalidade Comercial”, “Finalidade de Negócios”, “Coletar”, “Venda”, “Provedor de Serviços” e “Compartilhamento” terão os significados dados a eles conforme a Lei de Privacidade Aplicável.
   15. A palavra “incluir” será interpretada como inclusão sem limitação, e os termos relacionados serão interpretados de acordo.
2. PROTEÇÃO E SEGURANÇA DE DADOS
   1. Funções de proteção de dados. Por meio deste documento, as partes reconhecem e concordam que a Empresa é a Controladora ou o Estabelecimento Comercial, e a Seagate está agindo em nome da Empresa como Processador ou Provedor de Serviços com respeito às Informações Pessoais da Empresa, exceto quando a Empresa atua como Processador de Informações Pessoais da Empresa, caso em que a Seagate passa a ser uma Subprocessadora.
   2. Conformidade com as leis. Cada Parte deverá cumprir suas obrigações de acordo com a(s) Lei(s) de Privacidade Aplicável(is) com respeito a quaisquer Informações Pessoais da Empresa que Processar de acordo com este DPA. Qualquer Processamento de Informações Pessoais da Empresa segundo o Acordo deverá ser realizado conforme as Leis de Privacidade Aplicáveis. Entretanto, a Seagate não é responsável pela conformidade com qualquer Lei de Privacidade Aplicável ou padrões locais/do setor que possam se aplicar à Empresa ou ao setor da Empresa e que não sejam aplicáveis à Seagate geralmente como uma prestadora de serviços. Nos casos em que o uso específico da Empresa dos serviços e a Lei de Privacidade Aplicável ou padrões locais/do setor exigirem que a Empresa entre em acordos contratuais específicos e/ou etapas ou medidas adicionais de conformidade que se estendam além das disposições deste DPA, a Empresa será responsável por notificar a Seagate pelo menos 30 (trinta) dias antes do fornecimento à Seagate de Informações Pessoais da Empresa sujeitas a tais requisitos. A Seagate fornecerá assistência razoável à Empresa para apoiar sua conformidade com tais requisitos e a Seagate, a seu próprio critério, pode executar o(s) contrato(s) necessário(s) que se estendem às Informações Pessoais da Empresa aplicáveis cobertas por tais disposições, sem prejudicar o efeito das disposições deste DPA. A Empresa pode notificar a Seagate sobre tais solicitações específicas de jurisdição no endereço de aviso da entidade contratante da Seagate identificada no Acordo.
   3. Não divulgação de Informações Pessoais da Seagate. A Seagate não divulgará Informações Pessoais da Empresa a terceiros de forma alguma e para nenhuma finalidade sem obter autorização prévia por escrito da Empresa, exceto divulgações feitas de acordo com a lei aplicável, a Subprocessadores de acordo com a Seção 2.8 abaixo ou para o fornecimento dos Serviços. Qualquer pessoa autorizada a Processar Informações Pessoais da Empresa deverá concordar contratualmente em manter o confidencialidade de tais informações ou estar sob uma obrigação estatutária apropriada de confidencialidade.
   4. Escopo de Processamento. A Seagate deverá sempre: (i) Processar as Informações Pessoais da Empresa somente de acordo com este DPA, para os fins de fornecer os Serviços à Empresa conforme o Contrato e segundo as instruções legais documentadas da Empresa (“Finalidades Permitidas”); e (ii) não Processar Informações Pessoais da Empresa para seus próprios fins ou os de terceiros. A Seagate não irá (i) Vender ou Compartilhar Informações Pessoais da Empresa; (ii) reter, usar ou divulgar Informações Pessoais da Empresa para quaisquer fins diferentes da(s) Finalidade(s) Permitida(s), inclusive reter, usar ou divulgar Informações Pessoais da Empresa para uma finalidade comercial diferente da realização dos Serviços conforme o(s) Contrato(s); ou (iii) reter, usar ou divulgar Informações Pessoais da Empresa fora do relacionamento comercial direto entre a Seagate e a Empresa. A Seagate notificará a Empresa se não puder mais cumprir com suas obrigações de acordo com a Lei de Privacidade do Consumidor da Califórnia de 2018 (Código Civil da Califórnia §§ 1798.100 et seq (“CCPA”), conforme retificado pela California Privacy Rights Act (“CPRA”). A Seagate certifica que entende e cumprirá com os requisitos e restrições estabelecidos na Seção 2.4 e cumprirá com os requisitos aplicáveis aos Provedores de Serviços conforme a CCPA e CPRA. Além disso, as partes reconhecem e concordam que a troca de Informações Pessoais da Empresa entre as partes não constitui uma Venda, nem faz parte de qualquer compensação monetária ou outra compensação de valor trocada entre as partes com respeito ao Contrato ou a este DPA. Em todos os casos, a Seagate cumprirá quaisquer restrições aplicáveis nos termos da CCPA e CPRA à combinação de Informações Pessoais da Empresa recebidas da Empresa com os Dados Pessoais que a Seagate recebe de, ou em nome da, outra pessoa ou pessoas, ou que a Seagate coleta de quaisquer interações entre ela e o Consumidor. A Empresa e a Seagate declaram que leram e entenderam os requisitos estabelecidos na CCPA e CPRA.
   5. Instruções de Processamento. As partes concordam que o Contrato (incluindo este DPA) define as instruções completas e finais da Empresa para a Seagate com relação ao Processamento de Informações Pessoais da Empresa. Se a Seagate for obrigada por lei a Processar as Informações Pessoais da Empresa para qualquer outra finalidade, a Seagate informará a Empresa sobre tal exigência antes do Processamento, a menos e na medida em que for proibida por lei de fazê-lo. Quaisquer alterações nas instruções da Empresa estão sujeitas à aprovação das Partes (inclusive custos adicionais para conformidade com as novas instruções).
   6. Obrigações da Empresa. A Empresa concorda que (i) cumprirá suas obrigações de acordo com as Leis de Privacidade Aplicáveis com respeito ao Processamento de Informações Pessoais da Empresa e quaisquer instruções de Processamento emitidas para a Seagate; e (ii) forneceu notificação e obteve (ou obterá) todos os consentimentos (onde necessário) e direitos necessários de acordo com as Leis de Privacidade Aplicáveis para a Seagate Processar Informações Pessoais da Empresa e prestar os Serviços de acordo com o Contrato e este DPA; e (iii) é responsável por seu uso seguro dos Serviços, inclusive proteger suas credenciais de autenticação de conta, proteger a segurança das Informações Pessoais da Empresa quando em trânsito de e para os Serviços e tomar todas as medidas apropriadas para criptografar ou fazer backup com segurança de quaisquer Informações Pessoais da Empresa Processadas com relação aos Serviços. A Empresa deverá implementar e manter medidas de segurança técnicas e organizacionais apropriadas criadas para proteger as Informações Pessoais da Empresa contra a Violação de Privacidade de Dados e para preservar a segurança e a confidencialidade dos dados das Informações Pessoais da Empresa enquanto estiverem em seu domínio e controle.
   7. Programa de segurança de informações. A Seagate irá implementar, manter, monitorar e, onde necessário, atualizar um programa de segurança de informações abrangente por escrito que contém medidas administrativas, técnicas e físicas para proteger Informações Pessoais da Empresa contra ameaças ou perigos antecipados, à sua segurança, confidencialidade ou integridade (como acesso, coleta, uso, cópia, modificação, descarte ou divulgação não autorizados, perda, destruição, aquisição ou dano não autorizado, ilegal ou acidental ou qualquer outra forma não autorizada de Processamento) (“Programa de Segurança de Informações”). A Empresa reconhece que o Programa de Segurança de Informações está sujeito a avanço e desenvolvimento técnico e que a Seagate pode atualizar ou modificar o programa de tempos em tempos, contanto que tais alterações e modificações não resultem na degradação da segurança geral dos Serviços comprados pela Empresa.
   8. Restrições para Subprocessadores. A Seagate pode divulgar Informações Pessoais da Empresa a Subprocessadores, conforme necessário, para a realização de seus Serviços para a Empresa, sujeito às condições determinadas nesta Seção 2.8. Ao assinar este DPA, a Empresa fornece uma autorização geral por escrito para a Seagate contratar Subprocessadores para fornecer os Serviços. Os Subprocessadores atualmente contratados pela Seagate e autorizados pela Empresa estão listados no Anexo C deste DPA. A Empresa pode se inscrever para receber notificações por email sobre alterações de Subprocessador ao se inscrever em [email protected] com o assunto “Subscribe to Lyve Cloud Data Privacy Agreement Sub-Processor Update Alerts”. A Seagate fornecerá, com pelo menos 15 (quinze) dias corridos de antecedência, uma notificação por escrito para a Empresa sobre a contratação de qualquer novo Subprocessador. A Empresa pode rejeitar por escrito a nomeação de cada Subprocessador com base razoável (por exemplo, se disponibilizar as Informações Pessoais da Empresa para o Subprocessador puder violar a Lei de Privacidade Aplicável ou prejudicar as proteções de tais Informações Pessoais da Empresa), notificando a Seagate imediatamente por escrito dentro de 10 (dez) dias corridos do recebimento do aviso da Seagate de acordo com esta Seção 2.8. Tal notificação deverá explicar os motivos razoáveis para a objeção e as partes deverão discutir tais preocupações de boa-fé com o objetivo de alcançar uma resolução comercialmente razoável. A Seagate pode, a seu critério, remover o Subprocessador da lista. Caso um Subprocessador seja removido pela Seagate, a Seagate terá tempo suficiente para substituir o Subprocessador. Se a Empresa não apresentar objeções ao Subprocessador proposto até 10 (dez) dias corridos após o recebimento da notificação da Seagate, o Subprocessador será considerado aprovado.
   9. Desempenho do Subprocessador. Caso um Subprocessador deixe de cumprir com suas obrigações de proteção de dados ou seja removido pela Seagate, a Seagate permanecerá completamente responsável para com a Empresa pelo desempenho das obrigações do Subprocessador. Se a Seagate não puder cumprir as obrigações sem o Subprocessador, a Seagate poderá cancelar quaisquer Contratos cabíveis entre as partes e/ou suas Afiliadas, sem custo ou responsabilidade para com a Empresa.
   10. Obrigações do Pessoal da Seagate e Subcontratados. A Seagate garantirá que quaisquer pessoas autorizadas a Processar Informações Pessoais da Empresa assumam um compromisso com o confidencialidade ou estejam sob uma obrigação estatutária apropriada de confidencialidade. Nos casos em que a Seagate contratar um Subcontratado para a realização de atividades de Processamento específicas em nome da Empresa, a Seagate celebrará um acordo por escrito com o Subcontratado contendo obrigações de proteção de dados que impõem, no mínimo, requisitos de privacidade de dados, proteção e segurança da informação sobre o Subprocessador pela duração do Processamento que exige que o Subprocessador proteja as Informações Pessoais da Empresa com o padrão exigido pelas Leis de Privacidade Aplicáveis.
   11. Notificação de solicitações ou reclamações. A menos que seja proibido por lei, a Seagate notificará a Empresa sobre qualquer solicitação ou reclamação recebida pela Seagate com relação ao Processamento de Informações Pessoais da Empresa, inclusive:
       1. solicitações de um Titular de Dados para exercer um de seus direitos garantidos pelas Leis de Privacidade Aplicáveis, inclusive, entre outros, uma solicitação de portabilidade de dados, para acessar, alterar, excluir ou restringir, e solicitações semelhantes; ou
       2. reclamações ou alegações de que o Processamento infringe os direitos de um Titular de Dados.
   12. Respostas da Empresa a solicitações de Titulares de Dados. Levando em conta a natureza do Processamento, a Seagate auxiliará a Empresa com medidas técnicas e organizacionais apropriadas, na medida do possível, para o cumprimento das obrigações da Empresa de responder às solicitações dos Titulares de Dados para exercerem seus direitos às custas da Empresa. A Seagate informará a Empresa imediatamente por escrito se receber: (i) uma solicitação de um titular de dados referente ao Processamento de Informações Pessoais da Empresa, exceto solicitações de CCPA e CPRA, nas quais a Seagate informará ao solicitante que a solicitação não pode ser atendida porque foi enviada para um Provedor de Serviços, conforme definido na CCPA e CPRA; ou (ii) uma reclamação, comunicação ou solicitação relacionada às obrigações da Empresa de acordo com as Leis de Privacidade Aplicáveis. Exceto conforme observado em (i) com relação às solicitações da CCPA e CPRA, a Seagate não responderá a tal solicitação, reclamação ou comunicação diretamente (exceto para direcionar o titular de dados para entrar em contato com a Empresa) sem a autorização prévia da Empresa, a menos que seja obrigada legalmente a fazê-lo.
       
   13. Solicitações de divulgação. A Empresa reconhece que a Seagate pode ser obrigada a divulgar, sem notificação prévia ou consentimento da Empresa, Informações Pessoais da Empresa às autoridades com relação a qualquer investigação, auditoria ou consulta relacionadas com os serviços. A menos que seja proibido por lei, a Seagate envidará todos os esforços comercialmente razoáveis para notificar a Empresa caso a Seagate receba qualquer documento solicitando ou exigindo a divulgação de Informações Pessoais da Empresa (como perguntas orais, interrogatórios, solicitações de informações ou documentos em processos judiciais, intimações, demandas investigativas ou outras solicitações ou Processos semelhantes). A Seagate tomará medidas razoáveis para impedir e limitar qualquer divulgação e preservar a confidencialidade das Informações Pessoais da Seagate.
   14. Cooperação. Às custas da Empresa, a Seagate fornecerá assistência razoável à Empresa no cumprimento de suas obrigações de acordo com as Leis de Privacidade Aplicáveis com relação à segurança das Informações Pessoais da Empresa e na realização de avaliações de impacto de privacidade e proteção de dados (conforme razoavelmente necessário) e consultas relacionadas de Autoridades Supervisoras.
   15. Notificação de possíveis violações ou incapacidade de conformidade. A Seagate notificará a Empresa se:
       1. A Seagate tiver motivos para crer que quaisquer instruções da Empresa com relação ao Processamento de Informações Pessoais da Empresa violaria a lei aplicável;
       2. A Seagate tiver motivos para crer que não é capaz de cumprir suas obrigações de acordo com este DPA ou as Leis de Privacidade Aplicáveis e não pode remediar sua incapacidade de conformidade em um período de tempo razoável; ou
       3. A Seagate ficar ciente de quaisquer circunstâncias ou alterações na lei cabível que possam impedi-la de cumprir suas obrigações de acordo com este DPA.
          
3. TRANSFERÊNCIAS DE DADOS
   1. Transferências internacionais. A Empresa, por meio deste instrumento, consente à Seagate transferir e Processar quaisquer Informações Pessoais da Empresa em um território diferente daqueles no qual as Informações Pessoais da Empresa foram coletadas primeiro, contanto que a Seagate tome todas as medidas necessárias para garantir que tal transferência e o Processamento estejam em conformidade com a Lei de Privacidade Aplicável e este DPA (inclusive as medidas que possam ser comunicadas pela Empresa à Seagate de tempos em tempos).
      
   2. Mecanismos de transferência. As partes concordam que, caso a transferência de Informações Pessoais da Empresa para a Seagate seja uma Transferência Restrita, ela estará sujeita aos mecanismos de transferência listados abaixo:
      1. Cláusulas Modelo. As partes concordam que a Transferência Restrita estará sujeita às Cláusulas Modelo apropriadas, que são automaticamente incorporadas por referência e fazem parte integrante deste DPA, a seguir:
         1. Em relação às Informações Pessoais da Empresa que são protegidas pelo GDPR, as SCCs da UE se aplicarão da seguinte forma:
            1. os Módulos 2 e 3, conforme apropriado, se aplicarão;
            2. na Cláusula 7, a cláusula de ancoragem opcional se aplicará;
            3. na Cláusula 9, a Opção 2 se aplicará e o período de tempo para o aviso prévio de alterações no Subprocessador será 15 (quinze) dias corridos;
            4. na Cláusula 11, o idioma opcional não se aplicará;
            5. na Cláusula 17, a Opção 1 se aplicará e as SCCs da UE serão regidas pelas leis da Holanda;
            6. na Cláusula 18(b), as disputas serão resolvidas pelos tribunais da Holanda;
            7. O Anexo I das SCCs da UE será considerado preenchido com as informações estabelecidas no Anexo A deste DPA; e
            8. O Anexo II das SCCs da UE será considerado preenchido com as informações determinadas no Anexo B deste DPA.
         2. Com relação aos dados protegidos pelo GDPR do Reino Unido, as SCCs da UE, conforme implementadas de acordo com o parágrafo (1) acima, se aplicarão, contanto que:
            1. quaisquer referências nas SCCs da UE a "Diretiva 95/46/EC" ou “Regulamento (UE) 2016/679” deverão ser interpretadas como referências ao GDPR do Reino Unido; referências a Artigos específicos do “Regulamento (UE) 2016/679” são substituídas pelo Artigo ou Seção equivalente do GDPR do Reino Unido; as referências a “UE”, “União” e “lei do Estado-membro” são todas substituídas por “Reino Unido”; a Cláusula 13(a) e a Parte C do Anexo II das SCCs da UE não são usadas; as referências à “autoridade supervisora competente” e “tribunais competentes” serão interpretadas como referências ao Administrador de Informações e aos tribunais da Inglaterra e do País de Gales; a Cláusula 17 das SCCs da UE é substituída para afirmar que “As Cláusulas são regidas pelas leis da Inglaterra e do País de Gales” e a Cláusula 18 das SCCs da UE é substituída para afirmar que “Qualquer disputa decorrente destas Cláusulas deverá ser resolvida pelos tribunais da Inglaterra e País de Gales. Um titular de dados pode mover uma ação judicial contra o exportador e/ou importador de dados nos tribunais de qualquer país no Reino Unido. As Partes concordam em sujeitar-se à jurisdição de tais tribunais;”
            2. na medida e pelo tempo em que as SCCs da UE, conforme implementadas de acordo com o parágrafo 2(A) acima, não puderem ser usadas para transferir legalmente as Informações Pessoais da Empresa protegidas pelo DPA do Reino Unido para o Fornecedor, as SCCs do Reino Unido serão incorporadas e formarão um parte deste DPA e se aplicarão a tais transferências; e
               
            3. para os fins das SCCs do Reino Unido (onde aplicável), os anexos/apêndices relevantes das SCCs do Reino Unido serão considerados concluídos usando as informações contidas nos Anexos A e B deste DPA.
         3. Com relação às Informações Pessoais da Empresa que são protegidas pela DPA da Suíça, as SCCs da UE, conforme implementadas de acordo com o parágrafo (1) acima, se aplicarão, contanto que:
            1. as referências nas SCCs da UE ao “Regulamento (UE) 2016/679” ou o “GDPR” deverão ser interpretadas como referências à Lei Federal Suíça de Proteção de Dados (FADP);
            2. referências a “UE”, “União” e “ lei do Estado-membro” deverão ser interpretadas como referências à Suíça e à lei suíça, conforme o caso;
               
            3. o termo ‘estado-membro’ não deve ser interpretado de forma a excluir os titulares de dados na Suíça da possibilidade de processar seus direitos em seu local de residência habitual (Suíça);
            4. as cláusulas da SCC da UE devem ser interpretadas como protegendo os dados de pessoas jurídicas até a entrada em vigor da FADP revisada; e
            5. as referências à “autoridade supervisora competente” e “tribunais competentes” serão interpretadas como referências ao Comissário Federal Suíço de Proteção de Dados e Informações (FDPIC) e aos tribunais competentes na Suíça.
         4. Caso qualquer disposição deste Contrato ou deste DPA contrariar, direta ou indiretamente, as Cláusulas Modelo, as Cláusulas Modelo prevalecerão.
            1. Mecanismo de transferência alternativo: Na medida em que a Seagate adotar um mecanismo de exportação de dados alternativo (inclusive qualquer nova versão ou sucessor das SCCs adotadas conforme a Lei de Proteção de Dados Aplicável da UE) para a transferência de Dados Pessoais não descritos neste DPA (“Mecanismo de Transferência Alternativo”), o Mecanismo de Transferência Alternativo se aplicará em vez de qualquer mecanismo de transferência aplicável descrito neste DPA (mas somente na medida em que tal Mecanismo de Transferência Alternativo estiver em conformidade com a Lei de Proteção de Dados Europeia e se estender aos territórios para os quais os Dados Pessoais são transferidos) e a Empresa concordar em executar tais outros documentos e tomar outras medidas que possam ser razoavelmente necessárias para dar efeito legal a esse Mecanismo de Transferência Alternativo. Além disso, se e na medida que um tribunal de jurisdição competente ou uma autoridade fiscalizadora com autoridade vinculante ordene ou determine (por qualquer motivo) que as medidas descritas neste DPA não podem ser confiáveis para transferir legalmente tais Dados Pessoais da Empresa, a Empresa reconhece e concorda que a Seagate pode implementar quaisquer medidas ou proteções adicionais que possam ser razoavelmente necessárias para permitir a transferência legal de tais Dados Pessoais da Empresa.
               
   3. Transferências fora de países com requisitos de exportação de dados. Se quaisquer Leis de Privacidade Aplicáveis exigirem que outras medidas sejam tomadas com relação a qualquer restrição de exportação de dados aplicável para permitir a transferência de Informações Pessoais da Empresa para a Seagate (incluindo seus Subprocessadores), a Empresa cumprirá com tais requisitos de proteção de dados, inclusive adquirindo os consentimentos necessários ou executar quaisquer acordos de transferência de dados aplicáveis (por exemplo, cláusulas contratuais padrão) ou uma solução alternativa para garantir que as proteções apropriadas estejam em vigor para tal transferência.
4. CONFORMIDADE E RESPONSABILIDADE
   1. Auditoria. No máximo uma vez a cada doze (12) meses, a Empresa pode solicitar que a Seagate disponibilize para a Empresa as informações estritamente necessárias para demonstrar conformidade com as Leis de Privacidade Aplicáveis com relação ao Processamento de Informações Pessoais da Empresa. A Seagate deverá permitir e contribuir para auditorias da Empresa ou um auditor terceiro independente enviado pela Empresa, às custas da Empresa. Qualquer auditor terceiro independente deve ser aprovado pela Seagate (exceto se o terceiro for uma Autoridade Supervisora competente). O auditor deve executar um acordo de confidencialidade por escrito aceitável para a Seagate ou estar vinculado a uma obrigação estatutária de confidencialidade antes de conduzir a auditoria.
      
   2. Escopo da auditoria. Para solicitar uma auditoria, a Empresa deve fornecer à Seagate, com 30 (trinta) dias corridos de antecedência, uma notificação prévia por escrito e enviar para a Seagate uma proposta de plano de auditoria descrevendo o escopo proposto, duração e data de início da auditoria. A Seagate analisará o plano de auditoria proposto e comunicará à Empresa quaisquer preocupações ou dúvidas (por exemplo, qualquer solicitação de informações que possa comprometer a segurança, a privacidade, o emprego ou outras políticas relevantes da Seagate ou da Afiliada da Seagate). A Seagate trabalhará em cooperação com a Empresa para entrar em acordo sobre um plano de auditoria final.
      
   3. Relatório de auditoria. A Empresa fornecerá à Seagate quaisquer relatórios de auditoria gerados com relação a qualquer auditoria, a menos que seja proibido pelas Leis de Privacidade Aplicáveis ou instruído por uma Autoridade supervisora. A Empresa pode usar somente os relatórios de auditoria com a finalidade de atender aos requisitos de auditoria regulamentar da Empresa e/ou para confirmar a conformidade com os requisitos deste DPA. Os relatórios de auditoria, incluindo quaisquer informações informativas fornecidas pela Seagate para a auditoria, são Informações Confidenciais da Seagate.
   4. Conformidade demonstrável. A Seagate concorda em fornecer informações razoavelmente necessárias para demonstrar conformidade com as Leis de Privacidade Aplicáveis do estado dos EUA mediante solicitação razoável da Empresa.
5. RESPONSABILIDADES DA SEAGATE APÓS UMA VIOLAÇÃO DE PRIVACIDADE DE DADOS
   1. Notificação de Violação de privacidade de dados. A Seagate notificará a Empresa por escrito sobre uma Violação de Privacidade de Dados, sem demora, e deverá:
      1. investigar ou fornecer a assistência necessária na investigação da Violação de Privacidade de Dados;
      2. fornecer à Empresa informações sobre a Violação de Privacidade de Dados e fornecer imediatamente informações adicionais relevantes assim que estiverem disponíveis; e
      3. tomar medidas comercialmente razoáveis para conter a Violação de Privacidade de Dados, mitigar os efeitos da Violação de Privacidade de Dados ou auxiliar a Empresa a fazê-lo às custas da Empresa.
   2. Considerações sobre notificação. A notificação ou resposta a uma Violação de Privacidade de Dados segundo este parágrafo (“Resposta à Violação de Privacidade de Dados”) não será interpretada como um reconhecimento pela Seagate de qualquer falha ou responsabilidade com respeito à Violação de Privacidade de Dados.
   3. Comunicações. A Seagate não publicará quaisquer comunicações relacionadas a uma Violação de Privacidade de Dados de maneira que seja possível identificar ou revelar a identidade da Empresa, sem a aprovação prévia da Empresa, a menos que exigido de outra forma pela lei.
   4. Preservação de prova. A Seagate manterá um plano de resposta a incidentes. Após a descoberta de uma Violação de Privacidade de Dados, a Seagate preservará a prova relacionada à violação e manterá uma clara cadeia de comandos de acordo com seu plano de resposta ao incidente.
6. DEVOLUÇÃO E EXCLUSÃO SEGURA DE INFORMAÇÕES PESSOAIS DA EMPRESA
   1. Devolução e exclusão de Informações Pessoais da Seagate. Mediante o que ocorrer antes entre (a) a solicitação da Empresa ou (b) o vencimento ou rescisão antecipada dos contratos entre as partes e/ou suas Afiliadas com relação ao Processamento de Informações Pessoais da Empresa, por orientação da Empresa, a Seagate deverá, e deve direcionar seus Subprocessadores para exportar as Informações Pessoais da Empresa ou fornecer à Empresa, ou seu designado terceiro, a capacidade de exportar todas as Informações Pessoais da Empresa em um formato interoperável e legível por máquina, a menos que a retenção de Informações Pessoais da Empresa seja necessária pelas Leis de Privacidade Aplicáveis. Cada parte identificará uma pessoa de contato para fazer a migração das Informações Pessoais da Empresa e trabalhará com prontidão, diligência e de boa-fé para facilitar uma transferência em tempo hábil. Dentro de 30 dias depois que a Seagate (a) concluir a migração das Informações Pessoais da Empresa, ou (b) a Empresa informar a Seagate sobre sua decisão de não migrar as Informações Pessoais da Empresa, a Seagate e os Subprocessadores deverão destruir com segurança todas as Informações Pessoais da Empresa e sobrescrever com novos dados ou destruir as Informações Pessoais da Empresa por meio de um método de higienização aprovado.
   2. Obrigações de exclusão. Não obstante a seção 6.1, independentemente se a Empresa orientar a Seagate a devolver as Informações Pessoais da Empresa, a Seagate poderá ser obrigada a excluir as Informações Pessoais da Empresa dos serviços após o vencimento ou rescisão antecipada dos contratos entre as partes e/ou suas Afiliadas com relação ao Processamento de Informações Pessoais da Empresa, a menos que a retenção de Informações Pessoais da Empresa seja exigida pelas Leis de Privacidade Aplicáveis. Se a Empresa escolher receber ou migrar Informações Pessoais da Empresa para outro serviço da Seagate, inclusive, entre outros, o Seagate Lyve Services, a Empresa reconhece que a Seagate pode, mediante a entrada ou migração bem-sucedida de tais dados, excluir ou descartar quaisquer Informações Pessoais da Empresa armazenadas em o serviço original. A Empresa reconhece que, devido à natureza do serviço, a Seagate não terá acesso técnico aos dados sem permissões adicionais para garantir a continuidade da segurança.
   3. Destruição de Informações Pessoais da Seagate. A menos que seja proibido pelas Leis de Privacidade Aplicáveis, se a Seagate descartar qualquer papel, registro eletrônico ou outro registro contendo Informações Pessoais da Empresa, a Seagate o fará realizando todas as etapas razoáveis para destruir as Informações Pessoais da Empresa por: (a) fragmentação; (b) apagamento ou exclusão permanente; (c) desmagnetização; ou (d) modificação das Informações Pessoais da Seagate nesses registros para torná-las ilegíveis, irrecuperáveis e indecifráveis. Se a Seagate desativar ou, de outra forma, retirar de uso um disco rígido que contém uma cópia de Informações Pessoais da Empresa, a Seagate fragmentará, picará ou destruirá o disco de forma segura, tornando as Informações Pessoais da Empresa ilegíveis e destruídas de acordo com NIST 800-88, revisão 1.
7. DISPOSIÇÕES GERAIS
   1. Termos. Este DPA permanecerá em vigor até que (i) não haja outros contratos ativos entre as partes e (ii) a Seagate não tenha mais custódia ou controle ou acesso a quaisquer Informações Pessoais da Empresa. A Seagate Processará as Informações Pessoais da Empresa até que o relacionamento seja rescindido conforme especificado no Contrato. As obrigações da Seagate e os direitos da Empresa de acordo com este DPA continuarão em vigor enquanto a Seagate Processar as Informações Pessoais da Empresa
   2. Ordem de precedência. O Contrato permanece inalterado e em pleno vigor e efeito. Em caso de discrepâncias entre este DPA e quaisquer contratos entre as partes e/ou suas Afiliadas, as disposições dos seguintes documentos (em ordem de precedência) prevalecerão: (a) Cláusulas Contratuais Padrão (onde aplicável); depois (b) este DPA; e, em seguida, (c) o corpo principal do Contrato. Este DPA não limitará ou restringirá, mas somente será considerado como um suplemento das Cláusulas Contratuais Padrão.
   3. Atualizações. As partes cooperarão de forma razoável para atualizar este DPA por acordo mútuo por escrito, quando necessário, para garantir a conformidade com as leis e regulamentos cabíveis.
   4. Dados de serviço. Não obstante qualquer disposição em contrário no Contrato (inclusive este DPA), a Seagate terá o direito de coletar, usar e divulgar dados relacionados ao uso, suporte e/ou operação dos Serviços (“Dados de Serviço”) para fins comerciais legítimos, como cobrança, gerenciamento de contas, suporte técnico e desenvolvimento de produtos.. Na medida em que tais Dados de Serviço forem considerados informações pessoais da Empresa segundo as Leis de Privacidade Aplicáveis, a Seagate será responsável por e Processará tais dados de acordo com a Política de Privacidade da Seagate (cuja versão mais atual está localizada em https://www.seagate.com/legal-privacy/) (conforme atualizada de tempos em tempos) e Leis de Privacidade Aplicáveis. Para evitar dúvidas e exceto por esta Seção 7.4, os termos deste DPA não se aplicarão aos Dados de Serviço.
   5. Beneficiários terceiros. As Afiliadas da Seagate são beneficiárias terceiras previstas deste DPA e poderão impor os termos deste DPA como se fossem signatárias do DPA. A Seagate também pode impor as disposições deste DPA em nome de suas Afiliadas, em vez de suas Afiliadas separadamente instaurarem uma causa de ação contra a Empresa.
   6. Divulgação à Autoridade Supervisora ou órgão regulamentar . A Empresa reconhece que a Seagate pode divulgar este DPA (inclusive as SCCs) e quaisquer disposições de privacidade relevantes no Acordo à Comissão Federal de Comércio dos Estados Unidos, a uma autoridade europeia de proteção de dados ou a qualquer outro órgão judicial ou regulamentar mediante solicitação.
   7. Cessão. Se qualquer disposição neste DPA tornar-se ineficaz ou nula, isso não afetará as disposições restantes. As partes substituirão a disposição ineficaz ou nula por uma disposição legal que reflita a finalidade da disposição ineficaz ou nula. Caso esteja faltando uma disposição necessária, as partes deverão adicionar uma apropriada de boa fé.
   8. Cópias. Este DPA pode ser assinado por assinatura eletrônica, e tal assinatura eletrônica será tratada como uma original, inclusive para fins probatórios. Este DPA pode ser assinado em uma ou mais cópias, nenhuma das quais precisa conter as assinaturas de ambas as partes, sendo cada cópia considerada um original e todas as cópias em conjunto constituirão um e o mesmo instrumento.
   9. Interpretação. Os cabeçalhos deste DPA são apenas para referência e não afetarão a interpretação deste acordo.
   10. Responsabilidade. A responsabilidade de cada parte e de todas as suas Afiliadas, tomada em conjunto, decorrente ou relacionada com este DPA (inclusive as Cláusulas Contratuais Padrão), seja por contrato, delito civil (incluindo negligência) ou segundo qualquer outra teoria de responsabilidade, será sujeita às limitações e exclusões de responsabilidade (ou incorporadas por referência) no Contrato até a extensão máxima permitida pelas Leis de Privacidade Aplicáveis, contanto que tais limites não se apliquem à responsabilidade de qualquer uma das partes decorrente das Cláusulas Contratuais Padrão.
   11. Escolha da lei. Este DPA será regido e interpretado de acordo com as disposições da lei e jurisdição aplicáveis do Contrato, a menos que seja exigido de outra forma pelas Leis de Privacidade Aplicáveis.

ANEXO A
DESCRIÇÃO DO PROCESSAMENTO DE DADOS

A. LISTA DE PARTES

MÓDULO 2: Transferência de controlador para processador

MÓDULO 3: Transferência de processador para processador

Exportador(es) de dados:

EMPRESA

Detalhes de contato: Conforme especificado no Contrato. O(s) endereço(s) de email que a Empresa designar em sua conta por meio de suas preferências de notificação.

Atividades relevantes para a transferência: A Empresa utiliza o(s) Serviço(s) Lyve especificado(s) no Contrato e é responsável pelo uso do(s) Serviço(s) Lyve de acordo com a documentação aplicável.

Assinatura e data: Ao celebrar o Contrato, considera-se que o exportador de dados assinou estas Cláusulas contratuais padrão aqui incorporadas, incluindo seus Anexos, a partir da Data de Vigência do Contrato.

Função do exportador de dados: A função do exportador de dados é determinada na Seção 2.1 (Funções de proteção de dados) do DPA.

Importador(es) de dados:

SEAGATE

Detalhes de contato: Conforme especificado no Contrato. A equipe de privacidade da Seagate pode ser contatada em [email protected].

Atividades relevantes para a transferência: A Seagate Processa Informações Pessoais da Empresa para o assunto especificado no Contrato e até que o Contrato seja rescindido ou vencido, a menos que acordado de outra forma pelas partes por escrito. O assunto é determinado pelo(s) Serviço(s) Lyve que a Empresa assina e pelos dados que a Empresa carrega no(s) Serviço(s) Lyve.

Assinatura e data: Ao celebrar o Contrato, o importador de dados é considerado como tendo assinado estas Cláusulas Contratuais Padrão aqui incorporadas, incluindo seus Anexos, a partir da Data de Vigência do Contrato.

Função do importador de dados: A função do importador de dados é determinada na Seção 2.1 (Funções de proteção de dados) do DPA.

B. DESCRIÇÃO DA TRANSFERÊNCIA

MÓDULO 2: Transferência de controlador para processador

MÓDULO 3: Transferência de processador para processador

Categorias de titulares de dados cujos dados pessoais são transferidos

A Empresa pode enviar Informações pessoais da Empresa para a Seagate, na medida em que é determinado e controlado pela Empresa a seu critério, e que pode incluir, entre outros, dados pessoais relacionados às seguintes categorias de sujeitos de dados:

1. Funcionários antigos e atuais, conselheiros, consultores, fornecedores, contratados, subcontratados e agentes da Empresa;
2. Parceiros comerciais antigos e atuais da Empresa e seus funcionários, parceiros, conselheiros, consultores, fornecedores, contratados, subcontratados e agentes; e
3. Clientes antigos e atuais da Empresa e seus funcionários, parceiros, conselheiros, consultores, fornecedores, contratados, subcontratados e agentes.

Categorias de dados pessoais transferidos

A Empresa pode enviar Informações Pessoais da Empresa para a Seagate, na medida em que a Empresa determinar e controlar a seu critério e pode incluir dados pessoais fornecidos pela Empresa, fornecidos em nome da Empresa ou coletados pela Seagate em conexão com os Serviços.

Dados sensíveis transferidos (se aplicável) e restrições ou proteções aplicadas que levem completamente em consideração a natureza dos dados e os riscos envolvidos, como, por exemplo, limitação rígida de finalidade, restrições de acesso (incluindo acesso somente para equipe com treinamento especializado), manutenção de um registro de acesso aos dados, restrições para transferências subsequentes ou medidas de segurança adicionais.

A Empresa pode enviar dados sigilosos para a Seagate, a extensão que a Empresa determinar e controlar a seu critério e pode incluir dados sigilosos fornecidos pela Empresa, fornecidos em nome da Empresa ou coletados pela Seagate com relação aos Serviços. As proteções que a Seagate implementa são descritas no Anexo II.

A frequência da transferência (por exemplo, se os dados são transferidos de forma única ou contínua).

A Empresa determina e controla, a seu critério, a frequência da transferência de dados pessoais pela Empresa para a Seagate e a Empresa a conduz de acordo com o Contrato (inclusive este DPA).

Natureza do processamento

A Seagate Processará as Informações Pessoais da Empresa unicamente para os fins de fornecer os Serviços à Empresa de acordo com o Contrato (incluindo este DPA).

Finalidade(s) da transferência de dados e processamento posterior

A Empresa irá transferir as Informações Pessoais da Empresa para a Seagate exclusivamente com o objetivo de receber os Serviços conforme o Contrato (inclusive este DPA), inclusive:

1. Armazenamento e outros Processamentos necessários para fornecer, manter e aprimorar os Serviços fornecidos para a Empresa de acordo com o Contrato; e/ou
2. Divulgações de acordo com o Contrato e/ou conforme compelido pela lei aplicável.

O período durante o qual os dados pessoais serão retidos ou, se isso não for possível, os critérios usados para determinar esse período

A Seagate reterá as Informações Pessoais da Empresa transferidas pela Empresa para a Seagate de acordo com o Contrato (inclusive este DPA) e de acordo com as instruções jurídicas documentadas da Empresa.

Para transferências para (sub)processadores, especificar também o assunto, a natureza e a duração do processamento

Não aplicável.

C. AUTORIDADE SUPERVISORA COMPETENTE

MÓDULO 2: Transferência de controlador para processador

MÓDULO 3: Transferência de processador para processador

Identificar a(s) autoridade(s) supervisora(s) competente(s) de acordo com a Cláusula 13

A autoridade supervisora competente, de acordo com a Cláusula 13 das SCCs da UE, é (i) a autoridade supervisora aplicável ao exportador de dados em seu país de estabelecimento no EEE ou, (ii) caso o exportador de dados não esteja estabelecido no EEE, a autoridade supervisora aplicável no país do EEE onde o representante da UE do exportador de dados foi nomeado de acordo com o Artigo 27(1) do GDPR, ou (iii) onde o exportador de dados não é obrigado a nomear um representante, a autoridade supervisora aplicável ao país do EEE onde estão localizados os titulares de dados relevantes para a transferência. Com respeito ao Processamento de Informações Pessoais da Empresa ao qual o GDPR do Reino Unido se aplica, a autoridade supervisora competente é o Information Commissioners Office (o “ICO”). Com respeito ao Processamento de dados pessoais ao qual o DPA da Suíça se aplica, a autoridade supervisora competente é o Comissário Federal Suíço de Proteção de Dados e Informações.

 

 

ANEXO B

MEDIDAS TÉCNICAS E ORGANIZAÇÕES, INCLUSIVE MEDIDAS TÉCNICAS E ORGANIZAÇÕES PARA GARANTIR A SEGURANÇA DOS DADOS

MÓDULO 2: Transferência de controlador para processador

MÓDULO 3: Transferência de processador para processador

Descrição das medidas técnicas e organizacionais implementadas pelo(s) importador(es) de dados (incluindo quaisquer certificações relevantes) para garantir um nível apropriado de segurança, levando em conta a natureza, escopo, contexto e finalidade do processamento, e os riscos para os direitos e as liberdades das pessoas físicas.

A Seagate implementa, mantém, monitora e, quando necessário, atualiza seu abrangente programa de segurança de informações por escrito. O programa de segurança de informações da Seagate contém proteções administrativas, técnicas e físicas para proteger as Informações Pessoais da Empresa contra ameaças ou riscos previstos à sua segurança, confidencialidade ou integridade (como acesso, coleta, uso, cópia, modificação, descarte ou divulgação não autorizados, perda, destruição, aquisição ou dano não autorizado, ilegal ou acidental, ou qualquer outra forma não autorizada de Processamento) (“Programa de Segurança de Informações”).

A Seagate tem uma equipe de Segurança de informações separada e dedicada que gerencia o Programa de Segurança de Informações da Seagate. Essa equipe facilita e oferece suporte a auditorias e avaliações independentes realizadas por terceiros. A Empresa reconhece que o Programa de Segurança de Informações está sujeito a avanço e desenvolvimento técnico e que a Seagate pode atualizar ou modificar o programa de tempos em tempos, contanto que tais alterações e modificações não resultem na degradação da segurança geral do Lyve Services comprado pela Empresa.

A Seagate não revisa ou edita dados, conteúdo ou material criado, armazenado ou acessível por meio do Lyve Services.

As seguintes medidas estão em vigor para proteger os Dados Pessoais da Empresa manuseados pelo Lyve Cloud Services e Lyve Mobile Services (coletivamente, o “Lyve Services”):

Criptografia de dados pessoais: Medidas que possibilitam converter informações claramente legíveis em uma cadeia de caracteres ilegível por meio de um processo criptográfico.

1. A Seagate implementou medidas de segurança robustas para garantir que os dados da Empresa permaneçam protegidos, incluindo criptografia AES-256-GCM em repouso para Lyve Cloud Services e TCG Enterprise, SED com criptografia AES-256-bit em repouso para Lyve Mobile Services e suporte a criptografia em trânsito.
2. Um recurso de segurança importante do Lyve Services é que a Seagate criptografa todos os dados antes de armazená-los, independentemente de estarem criptografados na fonte. Não há opção para reduzir a proteção. Quando a Empresa escolher encerrar sua locação com o Lyve Services, seus dados serão apagados com segurança.
3. Data centers de terceiros hospedam o Lyve Cloud Services, garantindo a mais alta classe de disponibilidade e acesso a data center. Por design, a criptografia de dados não pode ser desabilitada dentro do Lyve Cloud Services. Isso significa que os dados são sempre criptografados em repouso e em trânsito. Além disso, a proteção contra ransomware protege os dados contra ataques maliciosos, enquanto a imutabilidade de objetos protege os dados contra manipulação ou exclusão acidental.

Medidas para garantir sigilo, integridade, disponibilidade e resiliência contínuos dos sistemas e serviços de processamento:

1. Confidencialidade: Medidas para garantir que as informações sejam acessadas somente por uma pessoa autorizada e para prevenir a intrusão de pessoas não autorizadas nos sistemas e aplicativos usados para o Processamento de dados pessoais.
   • A Seagate tem uma política de controle de acesso dedicada.
   • Sistema de direitos diferenciados baseado em grupos de segurança e listas de controle de acesso.
   • Política de senha, incluindo diretrizes para o tratamento de senhas.
   • As senhas exigem uma complexidade mínima definida. As senhas iniciais devem ser alteradas após o primeiro login.
   • Gestão de direito de acesso, incluindo conceito de autorização, implementação de restrições de acesso, implementação do princípio “precisar saber”, gerenciamento de direitos de acesso individuais.
   • Acordos de treinamento e confidencialidade para equipe interna e externa.
   • Separação de rede.
   • As solicitações de autorização são rastreadas, registradas e auditadas regularmente.
   • Remoção do acesso para funcionários após a rescisão ou alteração do contrato de trabalho.
   • Processos de provisionamento e desprovisionamento de contas.
   • Separação de responsabilidades e obrigações para reduzir as oportunidades para modificação ou uso indevido não autorizado ou não intencional.
   • Requisitos de confidencialidade impostos aos funcionários.
   • Treinamento em segurança obrigatório para funcionários, que aborde a privacidade e governança de dados, proteção de dados, confidencialidade, engenharia social, políticas de senha e responsabilidades gerais de segurança dentro e fora da Seagate.
   • Acordos de não divulgação com terceiros.
   • Separação de redes baseada em níveis de confiança.
2. Integridade: Medidas que garantem que as Informações Pessoais da Empresa não possam ser lidas, copiadas, modificadas ou removidas sem autorização durante transmissão ou transporte eletrônico, e que seja possível verificar e estabelecer se e por quem os dados foram inseridos em sistemas de processamento de dados, modificados ou removidos.
   • Autenticação de registro e acesso a sistema lógico monitorado.
   • Registro de acesso a dados, incluindo, entre outros, acesso, modificação, inserção e exclusão de dados.
   • Documentação de direitos de entrada de dados e entradas relacionadas a segurança de registro.
3. Disponibilidade e resiliência: Medidas que reduzem o risco de destruição ou perda acidental de Informações Pessoais da Empresa devido a influências internas ou externas e garantem a capacidade de resistir a ataques ou de restaurar rapidamente os sistemas para que voltem a funcionar corretamente após um ataque.

Medidas para garantir a capacidade de restaurar a disponibilidade e o acesso ao sistema Lyve Cloud Services em tempo hábil em caso de incidente físico ou técnico: Medidas que garantem a possibilidade de restaurar rapidamente o sistema em caso de incidente físico ou técnico.

1. Plano de continuidade e plano de recuperação de desastres.
2. Processos de recuperação de desastres para restaurar processos.
3. Procedimentos para o tratamento e os relatórios de incidentes (gerenciamento de incidentes), incluindo a detecção e reação a possíveis incidentes de segurança.

Processos para testes, levantamentos e avaliações regulares da eficácia de medidas técnicas e organizacionais do Lyve Cloud Services para garantir a segurança do processamento:

1. O monitoramento e o registro de atividades registram eventos e geram provas. Sistemas de produção e outros sistemas críticos produzem logs de eventos registrando as atividades do usuário, exceções, falhas e eventos de segurança da informação.
2. Somente funcionários autorizados da Seagate podem acessar todos os logs e controles de acesso estão em vigor para impedir o acesso não autorizado.
3. A Seagate protege as informações de registro contra adulteração e acesso não autorizado. Isso inclui a proteção dos controles contra alterações não autorizadas em informações de log e problemas operacionais.

Medidas para identificação e autorização de usuário:

1. Há procedimentos em vigor para capturar e registrar informações relacionadas à interação de sistemas, aplicativos e contas de usuário.
2. O acesso ao código-fonte do programa e itens associados (como designs, especificações, verificação e planos de validação) é restrito para impedir a introdução de funcionalidade não autorizada e para evitar alterações não intencionais, bem como para manter o sigilo da propriedade intelectual.
3. Um processo formal de registro e cancelamento de registro de usuário para o gerenciamento de identificações é implementado para atribuir direitos de acesso. Isso inclui emitir identificações de usuário exclusivas para identificar a pessoa que autorizou o acesso ao Lyve Services (identificações compartilhadas não são permitidas) e desativar ou remover imediatamente identificações quando alguém deixa o emprego ou quando um contratado/fornecedor rescinde um contrato ou não precisa mais de acesso.
4. O controle da alocação de informações secretas de autenticação (por exemplo, senhas, chaves criptográficas, tokens de hardware ou cartões inteligentes) deve ser mantido por meio de um processo formal que exija que os usuários reconheçam, como parte de seus termos e condições de emprego, manter essas informações confidenciais.

Medidas para a proteção de Dados durante a transmissão para o Lyve Cloud Services:

1. O Lyve Cloud Services implementou medidas de segurança robustas para garantir que as Informações Pessoais da Empresa permaneçam protegidas, incluindo criptografia em repouso e suporte a criptografia em trânsito.
2. As pessoas autorizadas que acessarem a rede de locais externos deverão utilizar métodos e tecnologias de criptografia e autenticação aprovados.
3. A Seagate não possibilita o uso de contas compartilhadas para obter acesso remoto à rede.
4. A Seagate restringe o acesso remoto somente ao acesso de recursos e serviços necessários.

Medidas para a proteção de Informações Pessoais da Empresa durante o armazenamento:

1. O Lyve Services implementou medidas de segurança robustas para garantir que as Informações Pessoais da Empresa permaneçam protegidas, incluindo criptografia em repouso e suporte a criptografia em trânsito.
2. As instâncias de clientes da Seagate do Lyve Cloud Services são separadas logicamente e as tentativas de acessar dados fora dos limites permitidos de domínio são impedidas e registradas.
3. Medidas estão em vigor para garantir que uploads executáveis, códigos ou partes não autorizadas não tenham permissão para acessar dados não autorizados, incluindo um cliente acessando arquivos de outro cliente.

Medidas para garantir a segurança física de locais nos quais as Informações Pessoais da Empresa são processadas:

1. As medidas de segurança para o Lyve Services são proporcionais ao risco identificado para os ativos e serviços de informações.
2. O Lyve Cloud Services incorpora medidas de segurança ambientais e físicas nas instalações para minimizar os riscos, evitar ameaças e eliminar vulnerabilidades para proteger sistemas de informações e equipes.
3. A segurança física e ambiental foi desenvolvida para impedir o acesso físico não autorizado, dano e interferência aos ativos e sistemas de informações do Lyve Cloud Services.
4. O Lyve Cloud Services protege áreas seguras com o estabelecimento de controles de entrada para garantir que somente pessoas autorizadas tenham acesso. Os controles devem incluir o registro do acesso de visitantes, restringir o acesso onde informações sigilosas são mantidas somente ao pessoal autorizado, exigir que os usuários usem um crachá de identificação visível e limitar os indivíduos somente às áreas físicas necessárias para conduzir negócios.
5. Os equipamentos, informações ou ativos de software não devem ser levados para fora do local sem autorização. O limite de tempo para a remoção de ativos deve ser acordado por todos os envolvidos e a devolução verificada. Os ativos devem ser registrados como sendo movidos para fora do local e o mesmo registro atualizado quando os ativos forem devolvidos.

Medidas para garantir o registro de eventos:

1. Registro remoto.
2. Uma política de sistema de gerenciamento de segurança da informação (ISMS) está em vigor.

Medidas para garantir a configuração do sistema, incluindo a configuração padrão: Medidas para garantir que todos os sistemas e dispositivos em escopo sejam compatíveis com as configurações de base de referência.

1. A Seagate tem uma Política de gestão de alterações em vigor.
2. A Seagate monitora alterações nos sistemas em escopo para garantir que elas sigam o processo e para mitigar o risco de alterações não detectadas na produção.
3. A Seagate tem procedimentos e política de controle de acesso em vigor.

Medidas para a governança e gestão internas da segurança da TI e de tecnologia da informação (“TI”):

1. A Seagate tem um Sistema de gerenciamento de segurança da informação (ISMS, Information Security Management System) de acordo com o padrão ISO 27001:2013.
2. A Seagate tem uma política de segurança de informações por escrito, incluindo documentação de apoio.
3. A autoridade e responsabilidade de gerenciar o programa de segurança de informações da Seagate foram delegadas ao diretor de segurança de informações, que é autorizado pela gerência sênior a tomar medidas necessárias para estabelecer, implementar e gerenciar o programa de segurança de informações da Seagate.

Medidas para certificação/garantia de processos e produtos:

1. O Lyve Cloud Services foi auditado por terceiros e alcançou conformidade com SOC 2, atestando nosso compromisso com controles que protegem o confidencialidade e privacidade das informações armazenadas e processadas em nosso serviço.
2. O Lyve Cloud Services é certificado pela ISO 27001 e seu programa inclui, entre outras considerações: políticas e procedimentos, gerenciamento de ativos, gerenciamento de acesso, criptografia, segurança física e ambiental, política de continuidade de negócios, segurança de recursos humanos, recuperação de desastres, segurança de infraestrutura de nuvem e rede, conformidade de segurança, gerenciamento de terceiros e monitoramento de segurança e resposta a incidentes.

Medidas para garantir a minimização de dados: Medidas para reduzir a quantidade de dados coletados.

1. A coleta de Informações Pessoais da Empresa é limitada aos dados que a Empresa escolher fornecer no Lyve Services.
2. As medidas de segurança estão em vigor para fornecer a quantidade mínima de acesso necessária para a realização das funções necessárias.

Medidas para garantir a qualidade dos dados: Medidas para garantir que o pipeline de dados crie e sustente dados de boa qualidade.

1. A Seagate não revisa ou edita dados, conteúdo ou material criado, armazenado ou acessível por meio do Lyve Services, inclusive Informações Pessoais da Empresa, e a Empresa tem o critério de quais dados são colocados no Lyve Services.
2. A Seagate conta com controles de segurança para garantir a integridade de dados.

Medidas para garantir a retenção limitada de dados:

1. Os proprietários de informações devem desenvolver e implementar procedimentos para garantir o descarte apropriado dos ativos de informações sob seu controle.
2. O Lyve Services protege ativos de informações e providencia sua destruição quando o ativo atingir o final de seu ciclo de vida, conforme descrito na programação de retenção de registros. A destruição segura desses ativos deve garantir que nenhum conteúdo legível permaneça intacto.
3. Um processo automatizado seguro deve ser usado para a destruição de dados eletrônicos e um processo manual seguro usado para a destruição de registros impressos.
4. Após o encerramento de todas as assinaturas associadas a um ambiente, os dados de cliente enviados para o Lyve Cloud Services são retidos em status inativo dentro do Lyve Cloud Services por 30 dias, após os quais são sobrescritos ou excluídos com segurança da produção.
5. Após o cancelamento de todas as assinaturas associadas a um Lyve Mobile Service, a Empresa deverá usar a funcionalidade de apagamento criptográfico no dispositivo para apagar com segurança os dados da Empresa do dispositivo. Quando o dispositivo Lyve Mobile Service é devolvido para a Seagate, o pessoal autorizado executa um apagamento do dispositivo em um local seguro de acesso controlado.

Medidas para garantir a responsabilidade: As empresas devem manter determinados registros dos dados pessoais que processam.

1. Avaliações de privacidade são necessárias durante o lançamento de qualquer produto/serviço novo que envolva o processamento de dados pessoais.
2. A Seagate atribui responsabilidades para garantir a privacidade do usuário final durante toda a vida útil do produto e por meio de processos comerciais aplicáveis.

Medidas para permitir a portabilidade de Dados e garantir o apagamento:

1. O Lyve Mobile Services foi desenvolvido com a portabilidade em mente. Os contratos tratam da transferência segura de informações comerciais entre o Lyve Cloud Services e terceiros externos.
2. O Lyve Mobile Services estabelece e mantém documentação para proteger informações e mídia física em trânsito para que as informações possam ser mencionadas em acordos de transferência.
3. O conteúdo de segurança da informação de qualquer contrato deve refletir o sigilo das informações de negócios envolvidas. Os contratos podem ser eletrônicos ou manuais e podem ser contratos formais.
4. A Empresa pode ser obrigada a excluir seus dados dos serviços no vencimento ou no cancelamento antecipado do Contrato. Quando um cliente opta por receber ou migrar seus dados para outro serviço da Seagate, a Seagate pode, mediante a entrada ou migração bem-sucedida de tais dados, excluir ou, de alguma forma, descartar quaisquer dados do cliente armazenados no serviço original.
5. O Lyve Services protege os ativos de informações e providencia sua destruição quando o ativo atingir o final de seu ciclo de vida, conforme descrito na programação de retenção de registros. A destruição segura desses ativos deve garantir que nenhum conteúdo legível permaneça intacto.
6. O Lyve Services usa um processo automatizado seguro para a destruição de dados eletrônicos e um processo manual seguro usado para a destruição de registros impressos.
7. Após o cancelamento de todas as assinaturas associadas aos itens de equipamento Lyve Services que contêm mídia de armazenamento, eles devem ser verificados para garantir que os dados confidenciais e o software licenciado foram removidos ou sobrescritos com segurança antes do descarte ou reutilização. A mídia de armazenamento deve ser excluída ou sobrescrita para que os dados originais sejam não recuperáveis.
8. Se a Seagate desativar ou, de outra forma, retirar de uso um disco rígido que contém uma cópia dos dados da Empresa, a Seagate fragmentará, picará ou destruirá o disco de forma segura, tornando os dados ilegíveis e destruídos de acordo com NIST 800-88, revisão 1.

 

ANEXO C

LISTA DE SUBPROCESSADORES

Nenhum.

 

ANEXO D

DISPOSIÇÕES ESPECÍFICAS A PAÍSES

Os seguintes requisitos se aplicam às jurisdições especificadas:

1. Singapura
   1. As disposições desta Seção 1 se aplicam onde a Lei de Proteção de Dados Pessoais de 2012 (Nº 26 de 2012) é aplicável ao Processamento de Informações Pessoais da Empresa pela Seagate.
   2. A Cláusula 1.3 do DPA será substituída pelo seguinte:
   3. “Violação de Privacidade de Dados” significa qualquer violação de segurança que leve à destruição, perda, alteração acidental ou ilegal, divulgação não autorizada, acesso, aquisição de Informações Pessoais da Empresa ou qualquer outro Processamento não autorizado de Informações Pessoais da Empresa, inclusive: (a) o acesso, coleta, uso, divulgação, cópia, modificação ou descarte não autorizados de Informações Pessoais da Empresa; ou (b) a perda de qualquer mídia ou dispositivo de armazenamento no qual as Informações Pessoais da Empresa estejam armazenadas, em circunstâncias em que seja provável o acesso, coleta, uso, divulgação, cópia, modificação ou descarte não autorizados de Informações Pessoais da Empresa.
   4. A Cláusula 5.1 do DPA será substituída pelo seguinte:

5.1 Notificação de Violação de Privacidade de Dados. Nos casos em que houver motivos para crer que uma Violação de Privacidade de Dados ocorreu, a Seagate notificará a Empresa por escrito sobre a Violação de Privacidade de Dados, sem demora, e deverá:

1. investigar ou fornecer a assistência necessária na investigação da Violação de Privacidade de Dados;
2. fornecer à Empresa informações sobre a Violação de Privacidade de Dados e fornecer imediatamente informações adicionais relevantes assim que estiverem disponíveis; e
3. tomar medidas comercialmente razoáveis para conter a Violação de Privacidade de Dados, mitigar os efeitos da Violação de Privacidade de Dados ou auxiliar a Empresa a fazê-lo às custas da Empresa.

Índia

1. As disposições desta Seção 2 se aplicam onde a Lei de Tecnologia da Informação de 2000 (“IT Act”) e Information Technology (Reasonable Security Practices and Procedures and Personal Data or Information) Rules, 2011 (“Regras de Privacidade”), conforme alterado e substituído de tempos em tempos, aplica-se ao Processamento de Informações Pessoais da Empresa fornecidas por um Controlador na Índia, independentemente se o Processamento ocorrer na Índia.
2. Com respeito ao Processamento de dados pessoais de titulares de dados sujeitos à IT Act e às Regras de Privacidade, as seguintes informações seriam consideradas como “Dados ou Informações Pessoais Sigilosos”
   1. senha;
   2. informações financeiras, como detalhes de conta bancária, cartão de crédito ou débito ou outros detalhes de instrumento de pagamento;
   3. estado de saúde físico, fisiológico e mental;
   4. orientação sexual;
   5. registros e históricos médicos;
   6. informações biométricas;
   7. qualquer detalhe relacionado às cláusulas acima conforme fornecido para a prestação do serviço; e
   8. qualquer uma das informações recebidas conforme as cláusulas acima para Processamento, armazenadas ou Processadas conforme um contrato legal ou de outra forma.

Para os acordos concluídos antes de 20 de junho de 2024, consulte o PDF anexado aqui. Acordo de Privacidade de Dados do Lyve antes de 20 de junho de 2024

Para os acordos concluídos antes de 22 de dezembro de 2022, consulte o PDF anexado aqui. Acordo de Privacidade de Dados do Lyve antes de 22 de dezembro de 2022

Para os acordos concluídos antes de 20 de janeiro de 2022, consulte o PDF anexado aqui. Acordo de Privacidade de Dados do Lyve antes de 20 de janeiro de 2022

Para os acordos concluídos antes de 14 de outubro de 2021, consulte o PDF anexado aqui. Acordo de Privacidade de Dados do Lyve antes de 14 de outubro de 2021