Contrato de Tratamento de Dados

Identificação das Partes

A CONTRATADA, qualificada acima, é empresa atuante no ramo de tecnologia, informática e processamento de dados.

Considerando que a CONTRATADA, no contexto do contrato principal, possui determinadas atribuições e funções que implicam no tratamento de dados pessoais, as partes resolvem celebrar o presente Contrato de Tratamento de Dados, que se regerá pelas seguintes cláusulas e condições:

I. Do Objeto

1.1. O presente contrato tem por objeto regular as condições em que a CONTRATADA realizará o tratamento de dados pessoais em nome da CONTRATANTE, em conformidade com a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD), no contexto da prestação de serviços de Infrastructure as a Service (IaaS) – infraestrutura como serviço.

II. Das Definições

2.1. Para fins deste contrato, aplicam-se as seguintes definições:

• Dados Pessoais: Informação relacionada a pessoa natural identificada ou identificável.

• Tratamento: Toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

• Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

• Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

• Incidente de Segurança: Qualquer evento adverso, confirmado ou sob suspeita, relacionado à violação na segurança de dados pessoais, como acesso não autorizado, situação acidental ou ilícita de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

III. Das Obrigações da Contratada

3.1. A CONTRATADA se obriga a tratar os dados pessoais exclusivamente em nome e sob as instruções lícitas da CONTRATANTE, nos termos deste contrato e em conformidade com a legislação aplicável.

3.2. A CONTRATADA tratará os dados pessoais nos limites e para as finalidades permitidas por este contrato, ou outras definidas pela CONTRATANTE, por meio de aditivos a este contrato. A CONTRATADA não coletará, usará, acessará, manterá, modificará, divulgará, transferirá ou, de outra forma, tratará dados pessoais sem a ciência e autorização da CONTRATANTE.

3.3. A CONTRATADA deverá cessar o tratamento dos dados pessoais e notificar imediatamente a CONTRATANTE por escrito caso tome conhecimento ou tenha motivos para acreditar que qualquer instrução ou dado pessoal tratado viola a LGPD ou qualquer outra lei ou regulamento aplicável.

3.4. A CONTRATADA assegurará que os dados pessoais não sejam acessados, compartilhados ou transferidos para terceiros, exceto para infraestruturas de Data Center utilizadas no contexto da prestação de serviços, sem o consentimento prévio e por escrito da CONTRATANTE. Caso haja autorização, a CONTRATADA deverá garantir que tais terceiros se obriguem, por escrito, a garantir a mesma proteção aos dados pessoais estabelecida neste contrato. A CONTRATADA será responsável por todas as ações e omissões realizadas por tais terceiros, relativas ao tratamento dos dados pessoais, como se as tivesse realizado.

3.5. A CONTRATADA compromete-se a instituir e manter um Programa de Gestão de Privacidade. Esse programa deverá estabelecer políticas internas que contemplem, mas não se limitem a:

• Medidas de Segurança Técnicas e Administrativas:

  • Implementação de controles que garantam a confidencialidade, integridade e disponibilidade dos dados pessoais.

  • Limitação e controle de acesso aos dados pessoais e aos sistemas que os tratam.

  • Uso de técnicas de segurança apropriadas para proteger os dados pessoais.

• Gestão de Incidentes de Segurança:

  • Procedimentos para identificação, resposta, investigação e notificação de incidentes de segurança envolvendo dados pessoais.

  • Registro e documentação de incidentes e ações tomadas.

• Atualizações e Revisões Periódicas:

  • Revisão e atualização constantes das políticas e medidas de segurança implementadas.

  • Auditorias internas para verificar a conformidade e eficácia das medidas adotadas.

• Treinamentos e Conscientização:

  • Condução de treinamentos regulares com os funcionários e colaboradores sobre segurança da informação e proteção de dados pessoais.

  • Programas de conscientização sobre a importância da proteção de dados e as responsabilidades individuais.

3.6. A CONTRATADA declara possuir medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, conforme previsto no art. 46 da LGPD. Tais medidas incluem, mas não se limitam a:

• Controle de Acesso Físico:

  • Restrição de acesso às instalações, garantindo que apenas pessoal autorizado tenha acesso aos locais onde os dados estão alocados.

• Controles de Proteção de Rede:

  • Utilização de firewalls, sistemas de detecção e prevenção de intrusões, e outras tecnologias para proteger a infraestrutura.

• Sanitização de Mídias Físicas:

  • Procedimentos seguros para eliminação ou reutilização de mídias de armazenamento, garantindo a não recuperação de dados pessoais.

• Controle de Acesso Lógico:

  • Políticas de senhas robustas, autenticação multifator e gestão de privilégios de acesso.

• Monitoramento e Registro:

  • Monitoramento contínuo dos sistemas e registro de logs de acesso e atividades relevantes.

3.6. Em caso de incidente de segurança envolvendo dados pessoais, a CONTRATADA deverá:

3.7.1. Adotar todas as medidas necessárias e razoáveis para remediar o incidente e minimizar possíveis efeitos negativos aos titulares dos dados.

3.7.2. Notificar imediatamente a CONTRATANTE sobre o incidente, fornecendo todas as informações necessárias para a apuração do ocorrido.

3.7.3. Abster-se de realizar qualquer comunicação à Autoridade Nacional de Proteção de Dados (ANPD), autoridades públicas, titulares ou terceiros, sem a prévia e expressa concordância da CONTRATANTE, salvo disposição legal em contrário.

3.8. A CONTRATADA concorda em cooperar com a CONTRATANTE para o atendimento de requisições realizadas por titulares de dados, no que couber, considerando os limites de sua atuação como operadora e as características do serviço contratado (IaaS). A CONTRATADA auxiliará a CONTRATANTE em solicitações que envolvam os controles de segurança e privacidade enquanto provedora de infraestrutura de Data Center.

IV. Das Obrigações da Contratante

4.1. A CONTRATANTE garante que o tratamento dos dados pessoais armazenados no serviço contratado é realizado em conformidade com as leis de privacidade e proteção de dados aplicáveis, cumprindo com todos os princípios estabelecidos na LGPD.

4.2. A CONTRATANTE concorda e reconhece que é a controladora dos dados pessoais e que a CONTRATADA atua como operadora, nos termos da LGPD.

4.3. A CONTRATANTE é responsável por fornecer instruções lícitas e documentadas à CONTRATADA para o tratamento dos dados pessoais.

4.4. A CONTRATANTE poderá, a qualquer momento, acessar, modificar, eliminar, armazenar, transferir, compartilhar ou realizar outras formas de tratamento dos dados pessoais no serviço contratado, observando os limites e responsabilidades previstos na LGPD.

4.5. Em caso de término do vínculo contratual, a CONTRATANTE poderá solicitar por escrito que a CONTRATADA elimine os dados pessoais armazenados no serviço contratado, realizando a exclusão definitiva e permanente dos mesmos.

V. Da Cooperação entre as Partes

5.1. As partes concordam que poderão definir outras finalidades de tratamento de dados pessoais por meio de aditivos a este contrato, desde que em conformidade com a LGPD e demais legislações aplicáveis.

5.2. A CONTRATADA cooperará com a CONTRATANTE para assegurar o cumprimento das obrigações previstas na LGPD, incluindo, mas não se limitando a:

• Auxílio na realização de avaliações de impacto à proteção de dados.

• Disponibilização de informações necessárias para comprovar a conformidade com as obrigações previstas neste contrato.

VI. Da Transferência Internacional de Dados

6.1. Caso os serviços contratados pela CONTRATANTE estejam alocados em Data Centers localizados no exterior, a CONTRATANTE está ciente e concorda que os dados pessoais armazenados no serviço contratado poderão ser transferidos internacionalmente.

6.2. A CONTRATADA assegura que os subcontratados ou parceiros internacionais implementam e mantêm medidas adequadas de segurança e proteção dos dados pessoais, em conformidade com a LGPD e demais legislações aplicáveis.

6.3. A CONTRATADA garante que tais transferências internacionais serão realizadas apenas para países ou organismos internacionais que proporcionem um grau de proteção de dados pessoais adequado ao previsto na legislação brasileira, ou que estejam em conformidade com as exceções previstas na LGPD.

VII. Das Disposições Gerais

7.1. Este contrato entra em vigor na data de início da utilização dos serviços pela CONTRATANTE e permanecerá válido durante todo o período em que a CONTRATADA realizar o tratamento de dados pessoais em nome da CONTRATANTE.

7.2. As partes acordam que este contrato integra e complementa o contrato principal de prestação de serviços celebrado entre as partes, prevalecendo em caso de conflito no que se refere ao tratamento de dados pessoais.

7.3. Qualquer alteração neste contrato deverá ser feita por escrito e comunicada à outra parte, podendo ser formalizada por meio de aditivos contratuais.

7.4. Caso a CONTRATADA seja destinatária de qualquer ordem judicial ou comunicação oficial que determine o fornecimento ou divulgação de dados pessoais, deverá notificar imediatamente a CONTRATANTE, salvo quando a autoridade judicial requerer sigilo na investigação.

7.5. As partes elegem o foro da Comarca de Santana do Livramento, Estado do Rio Grande do Sul, para dirimir quaisquer questões decorrentes deste contrato, com renúncia expressa a qualquer outro, por mais privilegiado que seja.

VIII. Da Aceitação

8.1. Ao utilizar os serviços da CONTRATADA, a CONTRATANTE declara que leu, compreendeu e concorda integralmente com os termos deste Contrato de Tratamento de Dados, que entra em vigor na data de início da utilização dos serviços.

8.2. Este contrato é celebrado eletronicamente, dispensando-se a assinatura física das partes. A continuidade do uso dos serviços implica na aceitação plena e integral de todos os termos e condições aqui estabelecidos.