Acordo de privacidade de dados

ANEXO

Este Acordo de Privacidade de Dados, incluindo todos os anexos estabelecidos abaixo (este “DPA”), celebrado entre a empresa da Seagate indicada no Acordo (“Seagate”) e a Empresa indicada no Acordo (“ Empresa ”) (cada um “parte” e, coletivamente, as “partes”).

A Empresa celebrou uma ou mais ordens de compra, contratos e/ou acordos, inclusive declarações de trabalho (os "Contrato(s) )" com a Seagate. A Empresa concordou em fornecer determinados serviços à Seagate conforme descrito mais especificamente no(s) Contrato(s) ("Serviços").

As partes estão celebrando este DPA para garantir que o Processamento pela Empresa de Dados Pessoais fornecidos à Empresa ou coletados pela Empresa para a Seagate e/ou em seu nome seja feito de acordo com as Leis de Proteção de Dados e seus requisitos relativos a coleta, uso e retenção de Dados Pessoais de titulares de dados.

Este DPA está incorporado e faz parte do(s) Contrato(s). Todas as palavras em letras maiúsculas não definidas neste DPA terão o significado determinado no(s) Contrato(s).

As partes reconhecem e concordam com o seguinte:

DEFINIÇÕES
1. “Afiliada” significa qualquer entidade que controla, é controlada ou está sob o controle comum da parte em questão.
2. “Controle” significa uma participação de propriedade, voto ou semelhante representando 50% (cinquenta por cento) ou mais do total de interesses (conforme medido em uma base completamente diluída) então em circulação da entidade em questão. O termo “Controlado” será interpretado de acordo.
3. “Violação de Privacidade de Dados” significa destruição, perda, alteração acidental ou ilegal, divulgação, acesso, aquisição não autorizada de Informações Pessoais da Seagate ou qualquer outro Processamento não autorizado de Informações Pessoais da Seagate.
4. “Lei(s) de Proteção de Dados” significa todas as leis, regras e regulamentos mundiais de proteção de dados, segurança de dados e privacidade aplicáveis aos Dados Pessoais em questão, inclusive, quando aplicável: (i) Lei Europeia de Proteção de Dados; (ii) todas as leis, regras e regulamentos dos Estados Unidos, incluindo as Leis de Privacidade do Estado dos EUA, conforme alteradas, substituídas ou atualizadas de tempos em tempos; e (iii) padrões do setor aplicáveis apropriados à natureza dos Dados Pessoais.
5. “Lei(s) Europeia(s) de Proteção de Dados" significa todas as leis e regulamentos de proteção de dados aplicáveis à União Europeia (“UE”) ou ao Espaço Econômico Europeu (“EEE”), inclusive:
  1. o Regulamento Geral de Proteção de Dados 2016/679 (“GDPR da UE”);
  2. o GDPR conforme salvo na lei do Reino Unido em virtude da seção 3 da Lei da União Europeia (Retirada) de 2018 do Reino Unido e da Lei de Proteção de Dados do Reino Unido de 2018 (a “GDPR do Reino Unido”)
  3. a Lei Federal Suíça de Proteção a Dados de 19 de junho de 1992 e suas normas correspondentes (“DPA da Suíça”); e
  4. Diretiva 2002/58/EC relativa ao processamento de dados pessoais e à proteção de privacidade no setor de comunicações eletrônicas; e
  5. implementações nacionais aplicáveis de (i), (ii) e (iii).
6. “Titular de Dados” é uma pessoa física identificada ou identificável cujos Dados Pessoais da podem ser processadas de acordo com este DPA.
7. “SCCs da UE” significa as cláusulas contratuais anexadas à Decisão de implementação 2021/914 da Comissão Europeia, de 4 de junho de 2021, sobre cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros conforme o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho.
8. “Dados Pessoais” significa quaisquer informações que sejam protegidas como dados pessoais, informações pessoais ou informações pessoais identificáveis ou termos definidos de forma semelhante conforme as Leis de Proteção de Dados.
9. “Processar” ou “Processamento” significa, entre outros, operações realizadas em Informações Pessoais da , seja por meio automatizado ou não, como coletar, registrar, organizar, estruturar, alterar, usar, acessar, divulgar, disseminar, copiar, transferir, armazenar ou de alguma forma reter, excluir, alinhar, combinar, restringir, adaptar, recuperar, consultar, destruir ou descartar Dados Pessoais da Seagate.
10. “Transferência Restrita” significa:
  1. onde o GDPR da UE se aplica, uma transferência de Dados Pessoais do EEE para um país fora do EEE que não está sujeito a uma determinação de adequação pela Comissão Europeia.
  2. onde o GDPR do Reino Unido se aplicar, uma transferência de Dados Pessoais do Reino Unido para qualquer outro país que não esteja sujeito ou baseado em regulamentos de adequação conforme a Seção 17A da Lei de Proteção de Dados do Reino Unido de 2018; e
  3. onde o DPA da Suíça se aplicar, uma transferência de Dados Pessoais da Suíça para qualquer outro país que não seja baseada em uma decisão de adequação reconhecida pela lei suíça de proteção de dados.
11. “Informações Pessoais da Seagate” significa quaisquer informações que sejam protegidas como dados pessoais, informações de identificação pessoal ou informações pessoais de acordo com as Leis de Proteção de Dados, que são criadas, pertencentes ou fornecidas pela Seagate ou para a Seagate, às quais a Empresa tem acesso, obtém, usa, mantém ou Processa em nome da Seagate com relação a quaisquer Contratos entre as partes e/ou suas Afiliadas.
12. “Informações Sensíveis” significa qualquer um dos seguintes tipos de Informações Pessoais da Seagate: (i) número de seguro social, número de identificação de contribuinte, número de passaporte, número de carteira de habilitação ou outro número de identificação emitido pelo governo; (ii) detalhes de cartão de crédito ou débito ou número de conta financeira, com ou sem códigos ou senhas que dariam acesso à conta ou histórico de crédito; ou(iii) informações sobre raça, religião, etnia, vida ou práticas sexuais ou orientação sexual, informações médicas ou de saúde, informações genéticas ou biométricas, modelos biométricos, crenças politicas ou filosóficas, associação a partido político ou sindicato, informações de antecedentes criminais ou dados judiciais, como fichas criminais ou informações sobre outros processos judiciais ou administrativos. Para os fins deste DPA, Informações Sensíveis incluem informações pessoais sensíveis, dados sensíveis ou termos definidos de forma semelhante conforme definido nas Leis de Proteção de Dados cabíveis, categorias especiais de dados conforme definido no GDPR da UE e GDPR do Reino Unido e dados pessoais conforme definido no DPA suíça.
13. “Cláusulas Padrão” significa (conforme aplicável) os SCCs da UE, Adendo do Reino Unido e modificações da Suíça estabelecidos na Seção 3.1(i)(3) deste DPA.
14. “Subprocessador” significa quaisquer terceiros envolvidos pela Seagate ou por qualquer outro Subprocessador que terá acesso, receberá ou Processará quaisquer Informações Pessoais da Seagate.
15. “Autoridade Supervisora” significa qualquer agência reguladora, supervisora, governamental, estadual, Procurador-Geral ou outra autoridade competente com jurisdição ou supervisão da conformidade com as Leis de Proteção de Dados.
16. “Pessoal da Empresa” significa qualquer funcionário, contratado, Subprocessador ou agente da Empresa que a Empresa autoriza a Processar Informações Pessoais da Seagate.
17. “Adendo do RU" significa o Adendo de Transferência Internacional de Dados (versão B1.0) emitido pelo Information Commissioners Office segundo S.119(A) da Lei de Proteção de Dados do Reino Unido de 2018, conforme atualizada ou retificada de tempos em tempos.
18. “Leis de Privacidade dos Estados Unidos" significa todas as leis, regras e regulamentos de privacidade de dados, proteção de dados e segurança cibernética aplicáveis aos quais os Dados Pessoais da Empresa estão sujeitos.
19. Os termos “Controlador”, “ Titular de Dados”, “Processador”, “Negócios”, “Fins de Negócios”, “Fim Comercial”, “Coletar”, “Consumidor”, “Compartilhar”, “Vender”, “Autoridade Supervisora” e “Provedor de Serviços “ terão os significados dados a eles nas Leis de Proteção de Dados.
20. A palavra “incluir” será interpretada como inclusão sem limitação, e os termos relacionados serão interpretados de acordo.
PROTEÇÃO E SEGURANÇA DE DADOS
1. Status das partes. Com respeito às Informações Pessoais da Seagate, as partes reconhecem e concordam que a Empresa Processará tais Dados Pessoais como um Processador, em nome da Seagate. A Empresa é instruída a Processar Dados Pessoais na medida necessária para fornecer os Serviços conforme determinado no(s) Contrato(s) e neste DPA.
2. Funções da CCPA. Para fins da California Consumer Privacy Act de 2018 (Código Civil da Califórnia §§ 1798.100 et seq (“CCPA”), conforme retificado pela California Privacy Rights Act (“CPRA”)) (onde aplicável), a Empresa Processará Dados Pessoais como um Provedor de Serviços agindo de acordo com instruções da Seagate como uma Empresa.
3. Não divulgação de Informações Pessoais da Seagate. A Empresa não divulgará Informações Pessoais da Seagate a terceiros de forma alguma e para nenhuma finalidade sem obter autorização prévia por escrito da Seagate, exceto divulgações a subprocessadores conforme estabelecido na Seção 2.5 abaixo. Sem limitar as disposições acima, em circunstância alguma a Empresa pode vender ou divulgar Informações Pessoais da Seagate a terceiros para o benefício comercial da Empresa ou dos terceiros. Qualquer pessoa autorizada a Processar Informações Pessoais da Seagate deverá concordar contratualmente em manter o confidencialidade de tais informações ou estar sob uma obrigação estatutária apropriada de confidencialidade.
4. Limitações de Processamento. A Empresa somente Processará Informações Pessoais da Seagate com o objetivo de fornecer os Serviços à Seagate conforme o(s) Contrato(s) e de acordo com as instruções jurídicas documentadas da Seagate (“Finalidades Permitidas”). Para esses fins, a Seagate instrui a Empresa a Processar Informações Pessoais da Seagate para os fins descritos no Anexo I (Descrição da Transferência). A Empresa não deve Processar ou permitir o Processamento de Informações Pessoais da Seagate, exceto conforme necessário para oferecer os serviços para a Seagate, de acordo com qualquer Contrato entre as partes e/ou suas Afiliadas ou outras instruções por escrito da Seagate.
5. Requisitos de processamento. A Empresa deverá sempre: (a) Processar os Dados Pessoais exclusivamente para as Finalidades Permitidas; e (b) não Processar Dados Pessoais para seus próprios fins ou os de terceiros. A Empresa não deve: (i) Vender ou compartilhar Dados Pessoais; (ii) reter, usar ou divulgar Dados Pessoais para quaisquer finalidades diferentes das Finalidades Permitidas, inclusive reter, usar ou divulgar Dados Pessoais para uma finalidade comercial diferente da realização dos Serviços conforme o(s) Contrato(s); ou (iii) reter, usar ou divulgar Dados Pessoais fora do relacionamento comercial direto entre a Seagate e a Empresa. A Empresa deverá notificar a Seagate se não puder mais cumprir suas obrigações de acordo com CCPA/CPRA. A Empresa certifica que entende e cumprirá com os requisitos e restrições estabelecidos nesta Seção 2.5 e cumprirá com os requisitos aplicáveis aos Provedores de Serviços conforme a CCPA/CPRA. Além disso, as Partes reconhecem e concordam que a troca de Dados Pessoais entre as Partes não constitui uma Venda, nem faz parte de qualquer compensação monetária ou outra compensação de valor trocada entre as Partes com respeito ao Contrato ou a este DPA. Em todos os casos, a Empresa não combinará os Dados Pessoais recebidos da Seagate com os Dados Pessoais que a Empresa recebe de ou em nome de outra pessoa ou pessoas, ou que a Empresa coleta de qualquer interação entre ela e um Consumidor. A Empresa e a Seagate declaram que leram e entenderam os requisitos estabelecidos na CCPA e CPRA.
6. Programa de segurança de informações. A Empresa irá implementar, manter, monitorar e, onde necessário, atualizar um programa de segurança de informações abrangente por escrito que contém medidas administrativas, técnicas e físicas para proteger Informações Pessoais da Seagate contra ameaças ou perigos antecipados, à sua segurança, confidencialidade ou integridade (como acesso, coleta, uso, cópia, modificação, descarte ou divulgação não autorizados, perda, destruição, aquisição ou dano não autorizado, ilegal ou acidental ou qualquer outra forma não autorizada de Processamento) (“Programa de segurança de informações”). O Programa de segurança de informações incluirá os requisitos e medidas relacionados nos Padrões de segurança incluídos como Anexo II.
7. Restrições para Subprocessadores. A Empresa pode divulgar Informações Pessoais da Seagate a Subprocessadores, conforme necessário, para a realização de seus serviços para a Seagate, sujeito às condições determinadas nesta Seção 2.7. A Empresa manterá uma lista dos Subprocessadores para os quais divulga Informações Pessoais da Seagate, e fornecerá essa lista à Seagate mediante solicitação da Seagate. A partir da data de vigência do(s) Contrato(s), se aplicável, uma lista atual de Subprocessadores da Empresa será incluída no(s) Contrato(s) ou em qualquer outro documento fornecido pela Empresa à Seagate e assinado por ambas as partes, estabelecendo a lista de Subcontratados. A Empresa notificará a Seagate em [email protected] pelo menos 30 dias úteis antes de adicionar qualquer Subcontratado à lista. Se a Seagate não apresentar objeções ao Suprocessador proposto até 30 dias úteis após o recebimento da notificação, o Subprocessador será considerado aprovado. Se a Seagate tiver objeções quanto ao acesso de qualquer Subprocessador às Informações Pessoais da Seagate, a Empresa não divulgará Informações Pessoais da Seagate ao Subprocessador. Se, a qualquer momento, uma das partes achar que um Subprocessador não está fornecendo garantias suficientes de segurança apropriada aos riscos associados com as Informações Pessoais da Seagate Processadas, a Seagate poderá, a seu critério, remover o Subprocessador da lista. Caso um Subprocessador seja rejeitado ou removido pela Seagate, a Empresa terá tempo suficiente para substituir o Subprocessador. Se a Empresa não puder prestar os Serviços sem divulgar Informações Pessoais da Seagate para o Subprocessador rejeitado, a Seagate poderá cancelar quaisquer Contratos cabíveis entre as partes e/ou suas Afiliadas, sem custo ou responsabilidade para com a Empresa.
8. Conformidade e violação do Subcontratado. O uso de Subprocessadores pela Empresa não reduz a obrigação da Empresa de cumprir com este DPA ou as Leis de Proteção de Dados cabíveis. A Empresa será responsável para com a Seagate pelo desempenho dos serviços, Violações de Privacidade de Dados e violações deste DPA e Leis de Proteção de Dados cabíveis por seus Subprocessadores, da mesma forma e medida como se a Empresa estivesse cometendo as violações.
9. Obrigações do Pessoal da Empresa e Subcontratados. A Empresa deverá garantir que qualquer pessoa ou Subprocessador que tiver acesso a Informações Pessoais da Seagate celebre um acordo por escrito contendo termos pelo menos tão restritivos quanto os deste DPA. A Empresa garantirá que todas as obrigações de proteção de dados e privacidade continuem após seu Processamento para a Seagate terminar. Essa obrigação continuará perpetuamente, ou alternativamente, pelo menos até a Empresa certificar que todas as Informações Pessoais da Seagate tenham sido excluídas, destruídas ou são irrecuperáveis.
10. Acesso limitado. A Empresa limitará o acesso às Informações Pessoais da Seagate ao Pessoal da Empresa ou aos Subprocessadores que precisarem de acesso para a Empresa realizar suas obrigações conforme quaisquer contratos entre as partes e/ou suas Afiliadas ou instruções por escrito da Seagate, e que tenham (a) sido treinados quanto aos requisitos de proteção e segurança de dados, e (b) concordado em cumprir os requisitos de confidencialidade de dados pelo menos tão restritivos quanto os exigidos pela Seagate durante e após seu Processamento para a Seagate.
11. Notificação de solicitações ou reclamações. A menos que seja proibido por lei, a Empresa deverá notificar a Seagate em [email protected] até 2 dias úteis após o recebimento de qualquer solicitação ou reclamação relativa ao Processamento de Informações Pessoais da Seagate, inclusive:
  1. solicitações de um Titular de Dados quanto a portabilidade de dados, solicitações para acessar, alterar, excluir ou restringir, e solicitações semelhantes; ou
  2. reclamações ou alegações de que o Processamento infringe os direitos de um Titular de Dados.
12. Respostas da Empresa. A Empresa não responderá a qualquer solicitação ou reclamação, de acordo com a Seção 2.11, a menos que esteja expressamente autorizado a fazê-lo pela Seagate. A Empresa irá cooperar com a Seagate com respeito a qualquer ação realizada relacionada a qualquer solicitação ou reclamação, inclusive, entre outras, solicitações de exclusão. A Empresa buscará implementar os processos apropriados (inclusive medidas técnicas e organizacionais) para auxiliar a Seagate na resposta às solicitações ou reclamações, a menos que seja proibido por lei.
13. Solicitações de divulgação. A menos que seja proibido por lei, a Empresa notificará a Seagate imediatamente se receber qualquer documento solicitando ou exigindo a divulgação de Informações Pessoais da Seagate (como perguntas orais, interrogatórios, solicitações de informações ou documentos em processos judiciais, intimações, exigências investigativas civis ou outras solicitações ou processos semelhantes; coletivamente, “Solicitações de divulgação”). Se uma Solicitação de divulgação não for compulsória, a Empresa não responderá. Se uma Solicitação de divulgação for compulsória, a Empresa irá notificar a Seagate, a menos que seja proibido pela lei cabível, pelo menos 48 horas antes de responder, para que a Seagate possa exercer seus direitos para impedir ou limitar a divulgação. A Empresa tomará medidas razoáveis para impedir e limitar qualquer divulgação e preservar a confidencialidade das Informações Pessoais da Seagate. A Empresa cooperará com a Seagate a respeito de qualquer medida tomada como resposta à Solicitação de divulgação, inclusive cooperando para obter uma ordem de proteção apropriada ou outra garantia para proteger a confidencialidade de Informações Pessoais da Seagate.
14. Cooperação. A Empresa auxiliará a Seagate no cumprimento de suas obrigações de acordo com as Leis de Proteção de Dados, com relação a: (a) registro e notificação; (b) responsabilidade; (c) garantir a segurança das Informações Pessoais da Seagate; e (d) a realização de avaliações de impacto de privacidade e proteção de dados, e consultas relacionadas de Autoridades Supervisoras.
15. Participação em investigações regulatórias. A Empresa assistirá e apoiará a Seagate em qualquer investigação por qualquer Autoridade supervisora na medida em que a investigação for relacionada a Informações Pessoais da Seagate processadas pela Empresa ou Subprocessador da Empresa.
16. Notificação de possíveis violações ou incapacidade de conformidade. A Empresa notificará a Seagate imediatamente se:
  1. A Empresa tiver motivos para crer que quaisquer instruções da Seagate com relação ao Processamento de Informações Pessoais da Seagate violaria a lei cabível;
  2. A Empresa tiver motivos para crer que não é capaz de cumprir suas obrigações de acordo com este DPA ou as Leis de Proteção de Dados e não pode remediar sua incapacidade de conformidade em um período de tempo razoável; ou
  3. A Empresa ficar ciente de quaisquer circunstâncias ou alterações na lei cabível que possam impedi-la de cumprir suas obrigações de acordo com este DPA.
17. Suspensão ou ajustes para conformidade. A Seagate pode suspender o Processamento de Informações Pessoais da Seagate da Empresa ou dos Subprocessadores para evitar possíveis violações ou o não cumprimento da lei aplicável, deste DPA ou de quaisquer contratos cabíveis entre as partes e/ou suas Afiliadas com relação à privacidade ou proteção de dados. A Empresa cooperará com a Seagate para ajustar o Processamento a fim de remediar qualquer possível violação ou não conformidade. Se o ajuste não for possível, a Seagate poderá cancelar quaisquer Contratos cabíveis entre as partes e/ou suas Afiliadas, sem custo ou responsabilidade para a Empresa.
TRANSFERÊNCIAS DE DADOS
1. Cláusulas padrão do Espaço Econômico Europeu, Reino Unido e Suíça.
  1. As partes concordam que, nos casos em que a transferência de Informações Pessoais da Seagate para a Empresa for uma Transferência Restrita, ela estará sujeita às Cláusulas Padrão apropriadas, que são automaticamente incorporadas por referência e fazem parte integrante deste DPA conforme definido abaixo:
    1. em relação às Informações Pessoais da Seagate que são protegidas pelo GDPR da UE, as SCCs da UE se aplicarão da seguinte forma:
      1. a Seagate será a exportadora de dados e a Empresa será a importadora de dados;
      2. o Módulo 2 (C2P) será aplicado;
      3. na Cláusula 7, a cláusula de ancoragem opcional se aplicará;
      4. na Cláusula 9 do Módulo 2 (C2P), a Opção 2 se aplicará e o período de tempo para o aviso prévio de alterações no Subprocessador será conforme determinado na Seção 7 deste DPA;
      5. na Cláusula 11, o idioma opcional não se aplicará
      6. na Cláusula 17;
        
        para o Módulo 2 (C2P), a opção 1 se aplicará e
        
        as SCCs da UE serão regidas pela lei irlandesa;
      7. na Cláusula 18(b), as disputas serão resolvidas pelos tribunais da Irlanda;
      8. o Anexo I das SCCs da UE será considerado preenchido com as informações estabelecidas no Anexo I deste DPA; e
      9. o Anexo II das SCCs da UE será considerado preenchido com as informações determinadas no Anexo II deste DPA.
    2. Com relação aos dados que são protegidos pelo GDPR do Reino Unido, as SCCs da UE:(i) se aplicarão conforme preenchido de acordo com o parágrafo (1) acima; e (ii) serão consideradas alteradas conforme especificado no Adendo do Reino Unido, que será considerado executado pelas partes e incorporado e fará parte integrante deste DPA. Qualquer conflito entre os termos das SCCs da UE e o Adendo do Reino Unido deverá ser resolvido de acordo com a Seção 10 e 11 do Adendo do Reino Unido. Além disso, as tabelas 1 a 3 da Parte 1 do Adendo do RU deverão ser preenchidas, respectivamente, com as informações estabelecidas nos Anexos I e II deste DPA, e a tabela 4 da Parte 1 será considerada concluída sem a seleção de nenhuma das partes.
    3. Com relação às Informações Pessoais da Seagate que são protegidas pela DPA da Suíça, as SCCs da UE, conforme implementadas de acordo com o parágrafo (1) acima, se aplicarão, contanto que:
      1. as referências nas SCCs da UE ao Regulamento (UE) 2016/679 ou o GDPR deverão ser interpretadas como referências à Lei Federal Suíça de Proteção de Dados (FADP);
      2. referências a UE, União e lei do Estado-membro deverão ser interpretadas como referências à Suíça e à lei suíça, conforme o caso;
      3. o termo ‘estado-membro’ não deve ser interpretado de forma a excluir os titulares de dados na Suíça da possibilidade de processar seus direitos em seu local de residência habitual (Suíça);
      4. as cláusulas da SCC da UE devem ser interpretadas como protegendo os dados de pessoas jurídicas até a entrada em vigor da FADP revisada; e
      5. as referências à autoridade supervisora competente e tribunais competentes serão interpretadas como referências ao Comissário Federal Suíço de Proteção de Dados e Informações (FDPIC) e aos tribunais competentes na Suíça.
    4. Caso qualquer disposição deste DPA ou do(s) Contrato(s) contrariar, direta ou indiretamente, as Cláusulas Padrão, as Cláusulas Padrão prevalecerão.
    5. A Empresa garantirá que quaisquer Subprocessadores também executem as Cláusulas Padrão, onde aplicável.
  2. Mecanismos de transferência alternativos: Na medida em que a Empresa adotar um mecanismo alternativo de exportação de dados não descrito neste DPA (inclusive qualquer versão nova ou sucessora das Cláusulas padrão adotadas conforme a Lei de Proteção de Dados Europeia cabível) para a transferência de Dados Pessoais (Mecanismo de Transferência Alternativo), o Mecanismo de Transferência Alternativo se aplicará em vez de qualquer mecanismo de transferência aplicável descrito neste DPA (mas somente na medida em que tal Mecanismo de Transferência Alternativo (i) cumpra a Lei de Proteção de Dados Europeia, (ii) se estenda aos territórios para os quais Dados Pessoais são transferidos, e (iii) satisfaça as considerações de notificação abaixo) e (iv) a Empresa execute tais e outros documentos e tome todas as outras medidas que possam ser razoavelmente necessárias para dar efeito legal a esse Mecanismo de Transferência Alternativo. Além disso, se e na medida em que um tribunal de jurisdição competente ou uma autoridade supervisora com autoridade vinculativa ordenar ou determinar (por qualquer motivo) que as medidas descritas neste DPA não podem ser confiáveis para transferir legalmente tais Informações Pessoais da Seagate, a Seagate reconhece e concorda que, sujeita às considerações de notificação descritas abaixo, a Empresa pode implementar quaisquer medidas ou salvaguardas adicionais que possam ser razoavelmente necessárias para permitir a transferência legal de tais Informações Pessoais da Seagate. As considerações de notificação exigem que a Empresa notifique a Seagate em [email protected] pelo menos 30 dias úteis antes de implementar Mecanismos de Transferência Alternativos ou quaisquer medidas adicionais. Se a Seagate não apresentar objeções ao Mecanismo de Transferência Alternativa ou às medidas adicionais propostos até 30 dias úteis após o recebimento da notificação, o Mecanismo de Transferência Alternativo ou as medidas serão considerados aprovados. Se a Seagate tiver objeções contra qualquer Mecanismo de Transferência Alternativo ou medidas adicionais, a Empresa não deverá utilizar tais Mecanismos de Transferência Alternativo ou medidas adicionais. Caso um Mecanismo de Transferência Alternativo ou medida adicional seja rejeitado pela Seagate, a seu próprio critério, poderá cancelar quaisquer Contratos cabíveis entre as partes e/ou suas Afiliadas, sem custo ou responsabilidade para com a Empresa.
  3. Transferências fora de países com requisitos de exportação de dados. Se alguma Lei de Proteção de Dados exigir que medidas adicionais sejam tomadas em relação a qualquer restrição aplicável à exportação de dados para permitir a transferência de Informações Pessoais da Seagate para a Empresa (incluindo seus Subprocessadores), a Empresa cumprirá tais requisitos de proteção de dados, incluindo a obtenção dos consentimentos necessários ou a execução de quaisquer acordos de transferência de dados aplicáveis (por exemplo, cláusulas contratuais padrão) ou uma solução alternativa para garantir que as salvaguardas apropriadas estejam em vigor para tal transferência.
2. Outras disposições sobre jurisdição. Onde aplicável, a Empresa deverá cumprir com os Requisitos para Jurisdições Específicas, anexados como Anexo III.
CONFORMIDADE E RESPONSABILIDADE
1. Conformidade. A Empresa garantirá que o Processamento das Informações Pessoais da Seagate da Empresa e dos Subprocessadores esteja em conformidade com todas as leis cabíveis, as estruturas de auto-regulamentação e os requisitos contratuais aplicáveis à Empresa e Subprocessador. A Empresa revisará, anualmente, suas práticas e as de seus Subcontratados, para garantir que estejam em conformidade com este DPA e com todas as leis cabíveis. A Empresa cooperará, às suas próprias custas, com as solicitações da Seagate para que a Empresa demonstre conformidade com os termos de segurança e proteção de dados definidos neste DPA.
2. Registros de atividades de processamento. A Empresa manterá um registro atualizado dos detalhes do representante e agente de proteção de dados da Empresa, das categorias de atividades de Processamento realizadas, das informações relacionadas à transferência de dados entre fronteiras, de uma descrição geral das medidas de segurança implementadas com respeito aos dados Processados, do nome, contato e detalhes do Processamento de cada Subprocessador de Informações Pessoais da Seagate, e, quando aplicável, do representante e agente de proteção de dados de quaisquer Subprocessadores. Mediante solicitação, a Empresa fornecerá uma cópia histórica e atual deste registro para a Seagate ou a Autoridade Supervisora mediante solicitação.
3. Auditoria. A Empresa disponibilizará para a Seagate, mediante solicitação por escrito, todas as informações necessárias para demonstrar conformidade com este DPA e as Leis de Proteção de Dados, e permitirá e contribuirá com auditorias, inclusive inspeções locais, pela Seagate ou um auditor terceiro independente enviado pela Seagate com relação ao Processamento de Informações Pessoais da Seagate. Qualquer auditor terceiro independente deverá celebrar um acordo de não divulgação com as partes. A Empresa remediará qualquer não conformidade em um período de tempo razoável. Se a remediação não for possível, a Seagate poderá cancelar quaisquer contratos cabíveis entre as partes e/ou suas Afiliadas, sem custo ou responsabilidade devidos à Empresa.
RESPONSABILIDADES DA EMPRESA APÓS UMA VIOLAÇÃO DE PRIVACIDADE DE DADOS
1. Notificação de Violação de privacidade de dados. A Empresa notificará a Seagate por escrito sobre uma Violação de Privacidade de Dados conhecida ou suspeita imediatamente, e de qualquer forma, até 24 horas após saber da possível Violação de Privacidade de Dados e, imediatamente:
  1. notificará a Seagate em [email protected] sobre a Violação de Privacidade de Dados;
  2. investigará ou fornecerá a assistência necessária na investigação da Violação de Privacidade de Dados;
  3. fornecerá à Seagate informações detalhadas sobre a Violação de Privacidade de Dados, inclusive, sem limitação, as categorias, o local e o número aproximado de Titulares de Dados afetados, e as categorias, o local e o número aproximado de registros de Informações Pessoais da Seagate, e continuará fornecendo imediatamente, à Seagate, informações adicionais sobre a Violação de Privacidade de Dados, à medida que estiverem disponíveis;
  4. tomará todas as medidas comercialmente razoáveis para mitigar os efeitos da Violação de Privacidade de Dados, ou assistirá a Seagate nesse sentido; e
  5. implementará um plano de remediação, sujeito à aprovação da Seagate, e monitorará a resolução de Violações de Privacidade de Dados e vulnerabilidades relacionadas a Informações Pessoais da Seagate, para garantir que a ação corretiva apropriada seja realizada em tempo hábil.
2. Contenção e remediação. A Empresa conterá e remediará, imediatamente, qualquer Violação de Privacidade de Dados e evitar qualquer outra Violação de Privacidade de Dados; e a Empresa tomará todas as medidas necessárias para cumprir as Leis de Proteção de Dados e padrões do setor cabíveis para conter e remediar a Violação de Privacidade de Dados.
3. Comunicações. A Empresa não publicará quaisquer comunicações relacionadas a uma Violação de Privacidade de Dados de maneira que seja possível identificar ou revelar a identidade da Seagate, sem a aprovação prévia da Seagate.
4. Preservação de prova. A Empresa manterá um plano de resposta a incidentes. Após a descoberta de uma Violação de Privacidade de Dados, a Empresa preservará a prova relacionada à violação e manterá uma clara cadeia de comandos de acordo com seu plano de resposta ao incidente.
5. Cooperação. A Empresa cooperará com a Seagate em qualquer litígio, investigação ou outra medida que a Seagate precisar tomar para proteger os direitos da Seagate com relação ao uso, divulgação, proteção e manutenção de Informações Pessoais da Seagate. A Empresa também concorda em prestar assistência razoável e cooperação solicitada pela Seagate e/ou pelos representantes designados da Seagate, para o avanço de qualquer correção, remediação ou investigação de qualquer Violação de privacidade de dados e/ou a mitigação de qualquer possível dano, inclusive qualquer notificação que a Seagate possa determinar apropriada para enviar aos Titulares de Dados afetados, reguladores ou terceiros, e/ou o fornecimento de qualquer serviço de comunicação de crédito que a Seagate considere apropriado para enviar aos Titulares de Dados afetados. A Empresa será responsável pelas despesas razoáveis da Seagate relacionadas a uma Violação de Privacidade de Dados, inclusive, entre outras, despesas com investigação, remediação e notificação.
DEVOLUÇÃO E EXCLUSÃO SEGURA DE INFORMAÇÕES PESSOAIS DA SEAGATE
1. Integridade de dados. A Empresa deverá cumprir todas as instruções da Seagate para manter a integridade dos dados, incluindo (a) descartar as Informações Pessoais da Seagate que são mantidas pela Empresa, mas que não são mais necessárias para fornecer os Serviços, a menos que a retenção das Informações Pessoais da Seagate seja exigida pelas Leis de Proteção de Dados; (b) garantir que quaisquer Informações Pessoais da Seagate criadas pela Empresa em nome da Seagate sejam precisas e mantidas atualizadas; e (c) mediante solicitação da Seagate, permitir que a Seagate acesse quaisquer Informações Pessoais da Seagate, tudo de acordo com as leis aplicáveis.
2. Devolução e exclusão de Informações Pessoais da Seagate. Mediante a (a) solicitação da Seagate ou (b) expiração ou rescisão antecipada do(s) Contrato(s) entre as partes e/ou suas Afiliadas relacionadas ao Processamento de Informações Pessoais da Seagate, sob orientação da Seagate, a Empresa deverá, e deverá orientar seus Subprocessadores a, exportar as Informações Pessoais da Seagate ou fornecer à Seagate, ou a seu terceiro designado, a capacidade de exportar todas as Informações Pessoais da Seagate em um formato legível por máquina e interoperável determinado pela Seagate, a menos que a retenção de Informações Pessoais da Seagate seja exigida pelas Leis de Proteção de Dados. A Empresa manterá as Informações Pessoais da Seagate pelo tempo que a Seagate determinar seja razoavelmente necessário para permitir que a Seagate acesse e exporte completamente as Informações Pessoais da Seagate, sem custos para a Seagate. Cada parte identificará uma pessoa de contato para fazer a migração das Informações Pessoais da Seagate e trabalhará com prontidão, diligência e de boa fé para facilitar uma transferência em tempo hábil. Até 90 dias após a Seagate (a) confirmar que as Informações Pessoais da Seagate foram recebidas e migradas corretamente, ou (b) informar a Empresa sobre sua decisão de não migrar as Informações Pessoais da Seagate, a Empresa e os Subprocessadores deverão destruir com segurança todas as Informações Pessoais da Seagate, desvincular os identificadores de espaço de trabalho da Seagate e sobrescrever com novos dados ou de outra forma destruir as Informações Pessoais da Seagate, usando algum método de higienização aprovado.
3. Destruição de Informações Pessoais da Seagate. Se a Empresa descartar qualquer papel, registro eletrônico ou outro registro contendo Informações Pessoais da Seagate, o fará realizando todas as etapas razoáveis (baseado na sensibilidade das Informações Pessoais da Seagate) para destruir as Informações Pessoais da Seagate, a menos que a retenção das Informações Pessoais da Seagate seja exigido pelas Leis de Proteção de Dados por: (a) fragmentação; (b) apagamento ou exclusão permanente; (c) desmagnetização; ou (d) modificação das Informações Pessoais da Seagate nesses registros para torná-las ilegíveis, irrecuperáveis e indecifráveis. Se a Empresa desativar ou, de outra forma, retirar de uso um disco rígido que contém uma cópia de Informações Pessoais da Seagate, a Empresa fragmentará, picará ou destruirá o disco de forma segura, tornando as Informações Pessoais da Seagate ilegíveis e destruídas de acordo com NIST 800-88, revisão 1. A Empresa certificará, por escrito, que o disco foi fragmentado, picado ou destruído e que as Informações Pessoais da Seagate não podem ser lidas, recuperadas ou reconstruídas.
4. Notificação de retenção. Se a Empresa tiver obrigação legal de reter as Informações Pessoais da Seagate além do período permitido neste DPA, a Empresa notificará a Seagate, por escrito, sobre essa obrigação, não Processará mais as Informações Pessoais da Seagate além de reter tais informações para cumprir a obrigação legal da Empresa, e devolverá ou destruirá as Informações Pessoais da Seagate o mais rápido possível após o término do período de retenção exigido legalmente. Este DPA permanecerá em vigor até que a Empresa não tenha mais custódia ou controle ou acesso a quaisquer Informações Pessoais da Seagate.
5. Documentação. A Empresa documentará a retenção ou descarte das Informações Pessoais da Seagate de acordo com este DPA. A pedido da Seagate, a Empresa enviará documentação de retenção e uma certificação por escrito de que as Informações Pessoais da Seagate foram destruídas com segurança de acordo com este DPA.
DISPOSIÇÕES GERAIS
1. Termos. Este DPA permanecerá em vigor até que (i) não haja outro(s) Contrato(s) ativo(s) entre as partes e (ii) a Empresa não tenha mais custódia ou controle ou acesso a quaisquer Informações Pessoais da Seagate. A Empresa Processará as Informações Pessoais da Seagate até que o relacionamento seja rescindido conforme especificado no Contrato. As obrigações da Empresa e os direitos da Seagate de acordo com este DPA continuarão em vigor enquanto a Empresa Processar as Informações Pessoais da Seagate.
2. Ordem de precedência. Em caso de discrepâncias entre este DPA e quaisquer Contratos entre as partes e/ou suas Afiliadas, as disposições deste DPA prevalecerão, exceto por quaisquer discrepâncias envolvendo o Anexo II (Padrões de Segurança), em cujo caso o(s) outro(s) Contrato(s) prevalecerão, na medida em que os padrões de segurança em outros acordos se acrescentem aos requisitos mínimos estabelecidos no Anexo II. Este DPA não limitará ou restringirá, mas somente será considerado como um suplemento das Cláusulas Padrão.
3. Atualizações. A Empresa irá cooperar de forma razoável para atualizar este DPA, conforme necessário, para garantir a conformidade com as leis e regulamentos cabíveis.
4. Beneficiários terceiros. As Afiliadas da Seagate são beneficiárias terceiras previstas deste DPA e poderão impor os termos deste DPA como se fossem signatárias do DPA. A Seagate também pode impor as disposições deste DPA em nome de suas Afiliadas, em vez de suas Afiliadas separadamente instaurarem uma causa de ação contra a Empresa.
5. Divulgação do DPA para a Autoridade supervisora. A Seagate pode fornecer um resumo ou uma cópia deste DPA a qualquer Autoridade supervisora.
6. Cessão. Se qualquer disposição neste DPA tornar-se ineficaz ou nula, isso não afetará as disposições restantes. As partes substituirão a disposição ineficaz ou nula por uma disposição legal que reflita a finalidade da disposição ineficaz ou nula. Caso esteja faltando uma disposição necessária, as partes deverão adicionar uma apropriada de boa fé.
7. Interpretação. Os cabeçalhos deste DPA são apenas para referência e não afetarão a interpretação deste acordo.

ANEXO I

DESCRIÇÃO DO PROCESSAMENTO DE DADOS

Este Anexo I faz parte das Cláusulas Padrão.

MÓDULO 2: Transferência – Controlador para Processador (relevante para Informações Pessoais da Seagate) (C2P)

A. LISTA DE PARTES

EXPORTADOR DE DADOS
Nome e endereço	Seagate Technology LLC assinando em nome das Afiliadas e subsidiárias 47488 Kato Road, Fremont, CA, 94538
Nome e detalhes de contato da pessoa de contato	Seagate Technology LLC assinando em nome das Afiliadas e subsidiárias 47488 Kato Road, Fremont, CA, 94538 [email protected]
Atividades relevantes aos dados transferidos de acordo com estas Cláusulas Padrão	A Seagate Technology LLC, assinando em nome das Afiliadas e subsidiárias, é uma provedor de produtos de hardware e soluções de software e serviços para oferecer suporte a processos comerciais de vários segmentos do setor.
Assinatura e data:	Ao celebrar o(s) Contrato(s) que incorpora(m) este DPA, o exportador de dados é considerado como tendo assinado estas Cláusulas Padrão aqui incorporadas, incluindo seus Anexos, a partir da data efetiva do(s) Contrato(s).
Função de exportador de dados (Controlador/Processador):	Definido na Seção 2.1 (Status das Partes) deste DPA.

IMPORTADOR DE DADOS
Nome e endereço	Nome e endereço da empresa (conforme especificado nos Contratos)
Nome, cargo e detalhes de contato da pessoa de contato:	Nome e endereço da empresa (conforme especificado nos Contratos)
Atividades relevantes aos dados transferidos de acordo com estas Cláusulas Padrão:	A Empresa é um provedor de serviços que presta serviços e suporte ao exportador de dados, conforme descrito no(s) Contrato(s).
Assinatura e data:	Ao celebrar o(s) Contrato(s) que incorpora(m) este DPA, o importador de dados é considerado como tendo assinado estas Cláusulas Padrão aqui incorporadas, incluindo seus Anexos, a partir da data efetiva do(s) Contrato(s).
Função do importador de dados	Definido na seção 2.1 (Status das Partes) deste DPA.

B. DESCRIÇÃO DA TRANSFERÊNCIA

Ca tegorias de assuntos de dados	Os dados pessoais transferidos podem dizer respeito às seguintes categorias de titulares de dados: - passado e presente: o funcionários, conselheiros, consultores, fornecedores, contratados, subcontratados e agentes da Seagate; o parceiros de negócios e possíveis parceiros de negócios da Seagate e seus funcionários, parceiros, conselheiros, consultores, fornecedores, contratados, subcontratados e agentes; o leads de marketing em potencial e consumidores antigos e atuais; o clientes antigos e atuais da Seagate e seus funcionários, parceiros, conselheiros, consultores, fornecedores, contratados, subcontratados e agentes.
Categorias de dados pessoais transferidos	Os dados pessoais fornecidos pela Seagate ou em nome da Seagate à Empresa, ou coletados pela Empresa, que se relacionem com as Categorias de titulares de dados determinadas acima, conforme necessário para a Empresa fornecer os Serviços à Seagate conforme o(s) Contrato(s) e de acordo com com as instruções legais documentadas da Seagate, que podem incluir informações de contato, como nome, sobrenome, endereço de email, endereço comercial, número de telefone e quaisquer outros dados pessoais fornecidos pela Seagate.
Dados sensíveis transferidos (se aplicável) e restrições ou proteções aplicadas que levam completamente em consideração a natureza dos dados e os riscos envolvidos**	Conforme estabelecido no(s) Contrato(s)
Frequência da transferência	Contínua, a menos que seja estabelecido de outra forma no(s) Contrato(s) ou em um documento entre as partes.
Natureza do processamento/atividades de processamento	Conforme descrito no(s) Contrato(s).
Finalidade da transferência e do processamento de dados	Para fornecer os Serviços de acordo com o(s) Contrato(s) relevante(s).
Período durante o qual os dados pessoais serão retidos ou, se isso não for possível, os critérios usados para determinar esse período	Os dados pessoais serão retidos: (a) de acordo com a Seção 6.2 deste DPA (Devolução e exclusão de Informações Pessoais da Seagate); ou (b) conforme exigido pela lei; ou (c) pela duração estabelecida no(s) Contrato(s) ou em outro documento entre as partes que contenha as informações relevantes aplicáveis aos Serviços relevantes; o que for mais longo.
Se transferir para subcontratados, especifique também o assunto, a natureza e a duração do processamento	A Empresa deve fornecer o assunto, a natureza e a duração do processamento para transferências a subprocessadores para [email protected] se essas informações já não estiverem estabelecidas no(s) contrato(s) ou em um documento adicional acordado entre as partes.

C. AUTORIDADE SUPERVISORA COMPETENTE

A autoridade supervisora competente, de acordo com a Cláusula 13 das SCCs da UE, é (i) a autoridade supervisora aplicável ao exportador de dados em seu país de estabelecimento no EEE ou, (ii) caso o exportador de dados não esteja estabelecido no EEE, a autoridade supervisora aplicável no país do EEE onde o representante da UE do exportador de dados foi nomeado de acordo com o Artigo 27(1) do GDPR da UE, ou (iii) onde o exportador de dados não é obrigado a nomear um representante, a autoridade supervisora aplicável ao país do EEE onde estão localizados os titulares de dados relevantes para a transferência. Com respeito ao Processamento de Dados Pessoais ao qual o GDPR do Reino Unido se aplica, a autoridade supervisora competente é o Information Commissioners Office (o "ICO"). Com respeito ao Processamento de Dados Pessoais ao qual o DPA da Suíça se aplica, a autoridade supervisora competente é o Comissário Federal Suíço de Proteção de Dados e Informações.

ANEXO II

PADRÕES DE SEGURANÇA

Este Anexo II faz parte das Cláusulas Padrão.

Este Anexo II representa os medidas de segurança mínimas que serão realizados pela Empresa. Se quaisquer contratos entre as partes exigirem que a Empresa tenha medidas de segurança de um nível mais alto ou mais extensivas, a Empresa cumprirá esses termos. A Empresa deve manter e impor diversas políticas, padrões e processos criados para proteger as Informações Pessoais da Seagate e outros dados segundo os padrões do setor, por exemplo, NIST Cyber Security Framework e ISO 27001 ou 27002, aos quais os funcionários da Empresa têm acesso.

Políticas e padrões de segurança da informação. A Empresa deverá implementar requisitos de segurança para a equipe e todos os subcontratados, fornecedores ou agentes que têm acesso às Informações Pessoais da Seagate, desenvolvidos para:
1. impedir que pessoas não autorizadas tenham acesso aos sistemas de processamento de Informações Pessoais da Seagate (controle de acesso físico);
2. impedir que os sistemas de processamento de Informações Pessoais da Seagate sejam usados sem autorização (controle de acesso lógico);
3. garantir que as pessoas qualificadas para usar um sistema de processamento de Informações Pessoais da Seagate podem ter acesso às Informações Pessoais da Seagate apenas se estiverem qualificadas para acessar, de acordo com seus direitos de acesso aprovados e que, no decorrer do processamento ou uso e após o armazenamento, as Informações Pessoais da Seagate não possam ser lidas, copiadas, modificadas ou excluídas sem autorização (controle de acesso a dados);
4. garantir que as Informações Pessoais da Seagate não possam ser lidas, copiadas, modificadas ou excluídas sem autorização durante a transmissão eletrônica, o transporte ou o armazenamento, e que as entidades encarregadas de qualquer transferência de Informações Pessoais da Seagate por meio de instalações de transmissão de dados possam ser estabelecidas e verificadas (controle de transferência de dados);
5. garantir o estabelecimento de uma trilha de auditoria para documentar se e por quem as Informações Pessoais da Seagate foram inseridas, modificadas, transferidas ou removidas do processamento de Informações Pessoais da Seagate (controle de entrada);
6. garantir que as Informações Pessoais da Seagate sejam processadas somente de acordo com as instruções (controle de instruções);
7. garantir que as Informações Pessoais da Seagate sejam protegidas contra destruição ou perda acidental (controle de disponibilidade); e
8. garantir que as Informações Pessoais da Seagate coletadas para diferentes finalidades possam ser processadas separadamente (controle de separação).
A Empresa realizará avaliações e revisões periódicas de risco e, conforme apropriado, revisará suas práticas de segurança de informação pelo menos anualmente ou sempre que houver uma alteração material nas práticas de negócios da Empresa que possam afetar razoavelmente a segurança, confidencialidade ou integridade de Informações Pessoais da Seagate, contanto que a Empresa não modifique suas práticas de segurança de informação de uma forma que enfraqueça ou comprometa a integridade, disponibilidade ou confidencialidade de Informações Pessoais da Seagate.
Segurança física. A Empresa deverá manter sistemas de segurança comercialmente razoáveis em todos os seus locais que incluam um sistema de informação que utilize ou abrigue Informações Pessoais da Seagate. A Empresa deve restringir, razoavelmente, o acesso às Informações Pessoais da Seagate adequadamente.
Segurança organizacional.
1. Quando for necessário descartar ou reutilizar mídia, procedimentos deverão ser implementados para prevenir qualquer recuperação subsequente de quaisquer Informações Pessoais da Seagate armazenadas na mídia antes de ela ser removida do inventário. Se a mídia tiver que deixar as instalações em que arquivos estão localizados como resultado de operações de manutenção, procedimentos deverão ser implementados para prevenir a recuperação indevida de Informações Pessoais da Seagate nela armazenadas.
2. A Empresa deverá implementar políticas e procedimentos de segurança para classificar ativos de Informações sensíveis, esclarecer responsabilidades relacionadas à segurança e promover a conscientização entre os funcionários.
3. Todos os incidentes de segurança de Informações Pessoais da Seagate devem ser gerenciados de acordo com os procedimentos apropriados de resposta a incidentes.
4. A Empresa deverá criptografar, usando as ferramentas de criptografia padrão do setor, todas as Informações sensíveis em trânsito e em repouso.
Segurança da rede. A Empresa deve manter a segurança da rede usando equipamento comercialmente disponível e técnicas padrão do setor, inclusive firewalls, sistemas de detecção de intrusão e prevenção, listas de controle de acesso e protocolos de roteamento.
Controle de acesso. A Empresa deve manter controles de acesso apropriados, inclusive, entre outros, restringir o acesso a Informações Pessoais da Seagate a um número mínimo de Pessoal da Empresa que necessita desse acesso.
1. Somente a equipe autorizada pode conceder, modificar ou revogar acesso a um sistema de informação que utilize ou abrigue Informações Pessoais da Seagate. A Empresa deve manter registros de acesso adequados, que serão apresentados à Seagate mediante solicitação.
2. Os procedimentos de administração de usuários deverão definir funções de usuário e seus privilégios e como o acesso é concedido, alterado ou encerrado; tratar da segregação apropriada de tarefas e definir os requisitos e mecanismos de registro/monitoramento.
3. Todos os funcionários da Empresa deverão receber IDs de usuário exclusivos.
4. Os direitos de acesso devem ser implementados aderindo à abordagem de “privilégio mínimo”.
5. A Empresa deve implementar segurança física e eletrônica comercialmente razoável para criar e proteger senhas.
Controles de vírus e malware. A Empresa deve instalar e manter o software de proteção contra vírus e malware mais recente no sistema e ter uma programação em vigor para monitorar malware e verificar o sistema para proteger as Informações Pessoais da Seagate contra ameaças ou riscos antecipados e proteger contra o acesso ou uso não autorizado de Informações Pessoais da Seagate.
Pessoal. Antes de fornecer acesso a Informações Pessoais da Seagate ao Pessoal da Empresa, a Empresa deve exigir que o Pessoal da Empresa esteja conforme com o programa de segurança de informações da Empresa. A Empresa deve implementar um programa de conscientização sobre segurança para treinar o pessoal com relação às suas obrigações de segurança. Esse programa incluirá treinamento sobre obrigações de classificação de dados, controles de segurança física, práticas de segurança e relatórios de incidentes de segurança. A Empresa terá funções e responsabilidades claramente definidas para os funcionários. Uma triagem será implementada antes da contratação com termos e condições de emprego aplicadas adequadamente. Os funcionários da Empresa devem seguir estritamente as políticas e procedimentos de segurança. Um processo disciplinar deve ser aplicado se os funcionários cometerem uma Violação de privacidade de dados.
Continuidade dos negócios. A Empresa implementa planos apropriados de back-up, recuperação de desastres e continuidade de negócios. A Empresa revisa o plano de continuidade de negócios e a avaliação de riscos com regularidade. Os planos de continuidade de negócios estão sendo testados e atualizados com regularidade para garantir que estejam atualizados e eficazes.
Principal gerente de segurança. A Empresa deve notificar à Seagate quem é o seu principal gerente de segurança. O gerente de segurança será responsável por gerenciar e coordenar o desempenho das obrigações da Empresa determinadas no programa de segurança de informações da Empresa e neste DPA
Auditoria. A Seagate reserva-se o direito de realizar auditoria dos compromissos da Empresa conforme declarado neste Anexo II, de acordo com a seção 4.4 “Auditoria” deste DPA.
Violação. Se for determinado que a Empresa esteja infringindo este DPA, a Empresa deverá remediar a violação sem demora e, de qualquer forma, em até 30 dias. Qualquer Violação de Privacidade de Dados conhecida ou suspeita será regida pela seção 5. “Responsabilidades da Empresa após uma Violação de Privacidade de Dados” deste DPA.

Anexo III

REQUISITOS DE PRIVACIDADE DE DADOS PARA JURISDIÇÕES ESPECÍFICAS

Os seguintes requisitos se aplicam às jurisdições especificadas:

AUSTRÁLIA
1. Aplicabilidade. As disposições desta Seção 1 se aplicam quando (a) a Empresa recebe e acessa Informações Pessoais da Seagate de uma Afiliada da Seagate localizada na Austrália; ou (b) a Seagate notifica a Empresa de que as Informações Pessoais da Seagate estão sujeitas a estes requisitos.
2. Filiação a uma associação profissional ou comercial. O termo “Informações sensíveis” também inclui Informações Pessoais sobre a filiação de um indivíduo a uma associação profissional ou comercial.
3. Princípios de privacidade australianos. A Empresa cumprirá quaisquer obrigações aplicáveis conforme o Privacy Act 1988 (Cth), inclusive Australian Privacy Principles, ao lidar com Informações Pessoais da Seagate ou prestar serviços conforme este DPA.
4. Aviso de uso ou divulgação para fins de cumprimento. Se a Empresa usar ou divulgar Informações Pessoais para uma ou mais atividades de cumprimento conduzidas por um órgão de cumprimento da lei ou em nome do mesmo, a Empresa manterá um registro por escrito de uso e divulgação, e imediatamente enviará uma cópia do registro para a Seagate, a menos que seja proibido por lei.
5. Identificadores relacionados ao governo australiano. Caso as Informações Pessoais incluam identificadores relacionados ao governo australiano, a Empresa (a) não adotará o identificador relacionado ao governo australiano para uma pessoa como seu próprio identificador da pessoa, a menos que seja expressamente instruído a fazê-lo pela Seagate; e (b) não usará e não divulgará o identificador relacionado ao governo australiano, exceto quando razoavelmente necessário para verificar a identidade da pessoa ou quando instruído a fazê-lo pela Seagate.
6. Coleta de Informações Pessoais. Nos casos em que as instruções da Seagate para a Empresa exigirem que a Empresa colete informações pessoais em nome da Seagate, a Empresa deverá (a) buscar instruções da Seagate sobre (i) quaisquer informações que devem ser fornecidas para o Titular de Dados com relação à coleta de informações pessoais do Titular de Dados; e (ii) quaisquer consentimentos necessários para fins de marketing direto; e (b) não coletar Informações sensíveis ou sem o consentimento do Titular de Dados.
7. Contratos da Empresa com o governo australiano. Se a Seagate for uma prestadora de serviços contratada por um órgão do governo australiano em nível federal, estadual ou territorial, e na medida em que a Seagate seja obrigada a cumprir obrigações adicionais de proteção de dados em virtude de um contrato com o órgão relevante do governo, a Seagate imporá obrigações equivalentes a Empresa, conforme exigido pela lei australiana cabível. A Seagate e a Empresa concordam em celebrar contratos adicionais, se necessário, para refletir essas obrigações.
CHINA
1. Aplicabilidade. As disposições desta Seção 2 se aplicam quando (a) a Empresa recebe e acessa Informações Pessoais da Seagate de uma Afiliada da Seagate localizada na China; ou (b) a Seagate notifica a Empresa de que as Informações Pessoais da Seagate estão sujeitas a estes requisitos.
2. Funções de PIPL. De acordo com a Lei de Proteção de Informações Pessoais da RPC (PIPL), a Seagate agirá na função de Processador de Informações Pessoais, que decidirá os fins e as formas de Processamento. A Empresa será a Parte confiada que Processará Informações Pessoais em nome da Seagate de acordo com os requisitos deste DPA e as instruções da Seagate.
3. Subcontratados. Não obstante o disposto na Seção 2.4 do DPA, a Empresa não contratará nenhum Subprocessador para Processar Informações Pessoais da Seagate sem o consentimento expresso da Seagate. Os termos desse consentimento estão sujeitos à Seção 2.5 do DPA.
4. Tempo de Processamento limitado. A Empresa irá Processar as Informações Pessoais da Seagate somente pelo período de tempo necessário para alcançar as finalidades do Processamento, a menos que as partes estejam de acordo sobre uma duração diferente.
5. Transferências restritas. A Empresa não deve transferir Informações Pessoais da Seagate para fora da China sem o consentimento expresso da Seagate, se as Informações Pessoais da Seagate forem armazenadas ou mantidas na China. A Seagate, por meio deste documento, fornece consentimento para a Empresa transferir tais Informações Pessoais da Seagate quando necessário, contanto que a Empresa tome todas as medidas para cumprir as Leis de Proteção de Dados para a proteção de tais Informações Pessoais da Seagate
ÍNDIA
1. Aplicabilidade. As disposições desta Seção 3 se aplicam onde a Lei de Tecnologia da Informação de 2000 (“IT Act”) e Information Technology (Reasonable Security Practices and Procedures and Personal Data or Information) Rules, 2011 (“Regras de Privacidade”), conforme alterado e substituído de tempos em tempos, aplica-se ao Processamento de Informações Pessoais da Empresa fornecidas por um Controlador na Índia, independentemente se o Processamento ocorrer na Índia
2. A Cláusula 1.12 do DPA será modificada para incluir as categorias de dados pessoais especificadas na Seção 3 das Regras de Privacidade
JAPÃO
1. Aplicabilidade. As disposições desta Seção 3 se aplicam às Informações Pessoais da Seagate que a Empresa recebe ou acessa de uma Afiliada da Seagate localizada no Japão.
2. Pessoal da Empresa . A Empresa será responsável por supervisionar seu Pessoal da Empresa quanto à sua conformidade com o DPA.
3. Medidas de gestão de emprego. A Empresa protegerá as Informações Pessoais da Seagate relacionadas à gestão de emprego, conforme determinado pelas diretrizes de gestão de emprego do Ministério da Saúde, Trabalho e Bem-estar (“MHLW”).
4. Informações Pessoais obtidas por emprego. A Empresa garante que seus funcionários não divulgarão ou utilizarão indevidamente as Informações Pessoais da Seagate obtidas por meio de seu emprego.
5. Consentimento antes de transferência ou divulgação. A Empresa obterá consentimento prévio, por escrito, da Seagate, antes de divulgar ou transferir dados de seguro social e números fiscais a quaisquer terceiros (inclusive qualquer Afiliada) que não façam parte deste DPA, inclusive quaisquer Subprocessadores.
6. Devolução ou destruição após cumprimento da finalidade. A Empresa interromperá o Processamento e devolverá ou destruirá as Informações Pessoais da Seagate que estiverem em sua posse quando alcançar a finalidade para a qual elas foram coletadas.
7. Finalidades de backup. A Empresa não irá copiar ou reproduzir Informações Pessoais da Seagate, exceto para finalidades de backup.
COREIA DO SUL
1. Aplicabilidade. As disposições desta Seção 4 se aplicam às Informações Pessoais da Seagate que a Empresa recebe ou acessa de uma Afiliada da Seagate localizada na Coreia do Sul.
2. Acesso limitado. A Empresa limitará o acesso a Informações Pessoais, a seu pessoal que precisa razoavelmente de acesso para fins de Processamento.
3. Salvaguardas necessárias. A Empresa estabelecerá a manterá salvaguardas, inclusive:
  1. procedimentos internos para o manuseio seguro de Informações Pessoais;
  2. proteções técnicas, como firewalls, antivírus e software anti-malware;
  3. restrições de acesso físico, como cadeados;
  4. medidas para prevenir a alteração ou falsificação de logs de acesso ou registros de Processamento;
  5. medidas para armazenar e transmitir Informações Pessoais com segurança, como criptografia de Informações Pessoais, caso exigido pela Lei de Proteção de Informações Pessoais (PIPA), Regulamentos de Aplicação da PIPA, Lei sobre Promoção de Informações e Utilização de Rede de Comunicações e Proteção de Informações (PICNU), Regulamentos de Aplicação da PICNU (“PICNU Regulations”), Lei de Utilização e Proteção de Informações de Crédito (UPCIA) ou outras leis coreanas, conforme aplicável.
4. Criptografia de dados de identificação peculiares. A Empresa irá criptografar números de registro de residente, números de carteira de habilitação e números de passaporte, quando:
  1. forem transmitidos por meio de uma rede de informações ou comunicações;
  2. forem armazenados em mídia de armazenamento portátil ou periféricos;
  3. forem armazenados em qualquer rede de computação externa ou em uma zona desmilitarizada, ou em qualquer computador pessoal ou dispositivo móvel; ou
  4. forem armazenados na rede interna da Empresa, se os sistemas da Empresa não cumprirem os critérios de risco especificados pela Seagate.
5. Criptografia de senhas e dados biométricos. A Empresa criptografará todas as senhas e dados biométricos armazenados em qualquer formato.
6. Informações antes da divulgação. Antes de divulgar ou transferir Informações Pessoais da Seagate a um processador de dados terceirizado, a Empresa informará a Seagate razoavelmente de antemão. Mediante solicitação da Seagate, a Empresa enviará as seguintes informações: (a) as atividades de Processamento a serem subcontratadas; (b) a identidade do processador de dados terceirizado; e (c) quaisquer alterações em (a) ou (b).
7. Treinamento. A Empresa participará de qualquer treinamento que a Seagate possa escolher oferecer à Empresa para proteger as Informações Pessoais da Seagate contra roubo, vazamento, alteração ou dano durante o Processamento de tais Informações Pessoais da Seagate.
SINGAPURA
1. Aplicabilidade. As disposições da Seção 6 se aplicam onde a Lei de Proteção de Dados Pessoais de 2012 (Nº 26 de 2012) é aplicável ao Processamento de Informações Pessoais da Seagate pela Empresa.
2. A Cláusula 1.3 do DPA será substituída pelo seguinte:
  1.3 “Violação de Privacidade de Dados” significa qualquer violação de segurança que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada, acesso, aquisição de Informações Pessoais da Seagate, inclusive: (a) o acesso, coleta, uso, divulgação, cópia, modificação ou descarte não autorizados de Informações Pessoais da Seagate; ou (b) a perda de qualquer mídia ou dispositivo de armazenamento no qual as Informações Pessoais da Seagate estejam armazenadas, em circunstâncias em que seja provável o acesso, coleta, uso, divulgação, cópia, modificação ou descarte não autorizados de Informações Pessoais da Seagate.
3. A Cláusula 5.1 do DPA será substituída pelo seguinte:
  5.1 Notificação de Violação de Privacidade de Dados. Nos casos em que houver motivos para crer que uma Violação de Privacidade de Dados ocorreu, a Empresa notificará a Seagate por escrito sobre a Violação de Privacidade de Dados, sem demora, e deverá:
  1. investigar ou fornecer a assistência necessária na investigação da Violação de Privacidade de Dados;
  2. fornecer à Seagate informações sobre a Violação de Privacidade de Dados e fornecer imediatamente informações adicionais relevantes assim que estiverem disponíveis; e
  3. tomará medidas comercialmente razoáveis para conter a Violação de Privacidade de Dados, mitigar os efeitos da Violação de Privacidade de Dados ou assistir a Seagate nesse sentido às custas da Empresa.
TAIWAN
1. Aplicabilidade. As disposições desta Seção 5 se aplicam às Informações Pessoais da Seagate que a Empresa recebe ou acessa de uma Afiliada da Seagate localizada em Taiwan.
2. Subcontratados. Não obstante o disposto na Seção 2.4 do DPA, a Empresa não divulgará ou transferirá Informações Pessoais da Seagate para qualquer Subprocessador, nem permitira o acesso a Informações Pessoais da Seagate para qualquer Subprocessador sem o consentimento por escrito da Seagate.
3. Tempo de Processamento limitado. A Empresa irá Processar as Informações Pessoais da Seagate somente pelo período de tempo necessário para alcançar as finalidades do Processamento, a menos que as partes estejam de acordo sobre uma duração diferente.
4. Preservação de registros de acesso. A Empresa preservará registros de acesso pelo tempo necessário para garantir que sejam revisados periodicamente para casos de acesso não autorizado.
TAILÂNDIA
1. Aplicabilidade. As disposições desta Seção 6 se aplicam onde a Lei de Proteção de Dados Pessoais da Tailândia, BE 2562 (2019) (“PDPA”), conforme retificado e substituído de tempos em tempos, se aplica às Informações Pessoais da Seagate que a Empresa recebe ou acessa de uma Afiliada da Seagate localizada na Tailândia.
2. A Cláusula 1.3 do DPA será substituída pelo seguinte:
  1.3 “Violação de Privacidade de Dados” significa uma violação de medidas de segurança que causa perda, acesso, uso, modificação ou divulgação de dados pessoais ilegalmente ou sem autorização, resultante de um ato intencional, negligente, acidental, não autorizado ou ilegal, ou um ato relacionado a crimes de computador, ameaças cibernéticas, erros ou acidentes, ou qualquer outro ato, conforme determinado pela notificação emitida conforme a PDPA.
3. A Cláusula 1.12 do DPA será modificada para incluir as categorias de dados pessoais especificadas na Seção 26 do PDPA
4. Padrões de segurança. A Empresa deve se esforçar ao máximo e tomar todas as medidas razoáveis para implementar e manter os padrões de segurança e devem, no mínimo, estar de acordo com os requisitos do Anexo II e com as disposições e requisitos estipulados na PDPA e quaisquer outras regras, regulamentos, notificações e/ou ordens emitidas em sua virtude, inclusive, sem limitação, a Notificação do Comitê de Proteção de Dados Pessoais referente a: Medidas de segurança do controlador de dados BE 2565 (2022), conforme alterada, suplementada ou substituída de tempos em tempos.

O Acordo de Privacidade de Dados é válido desde quinta-feira, 31 de julho de 2025.

Para os acordos concluídos de 20 de junho de 2024 a 31 de julho de 2025, consulte o PDF aqui: Acordo de Privacidade de Dados 20 de junho de 2024

Para os acordos concluídos de quinta-feira, 8 de dezembro de 2022 a quinta-feira, 20 de junho de 2024, consulte o PDF aqui: Acordo de Privacidade de Dados quinta-feira, 8 de dezembro de 2022

Para os acordos concluídos de terça-feira, 11 de agosto de 2020 a quinta-feira, 8 de dezembro de 2022, consulte o PDF aqui: Acordo de Privacidade de Dados terça-feira, 11 de agosto de 2020

Para os acordos concluídos de 20 de novembro de 2019 a 10 de agosto de de 2020, consulte o PDF aqui: Requisitos de Proteção de Dados 20 de novembro de 2019

Para os acordos concluídos antes de 31 de março de 2019, consulte o PDF aqui: Requisitos de Proteção de Dados domingo, 31 de março de 2019

Produtos

Base de conhecimento

Downloads de suporte

Artigos

suggested searches

Learn more

Read the report

Leia o artigo

Mozaic 3+

Acordo de privacidade de dados

ANEXO