Aditivo de Processamento de Dados

Os termos em maiúsculas têm os significados atribuídos a eles no GDPR. Os seguintes termos têm os significados abaixo.

Este DPA se aplica ao processamento de Dados Pessoais do Cliente realizados pela upDevTeam LTD em nome do Cliente durante a prestação do Serviço.

As partes reconhecem que, em relação a esse processamento, o Cliente é o Controlador e a upDevTeam LTD é o Processador.

A upDevTeam LTD também processa dados como Controlador em relação às suas próprias operações comerciais (cobrança de contas, anti-abuso, marketing). A Política de Privacidade descreve esse processamento.

A upDevTeam LTD irá:

O Cliente autoriza a upDevTeam LTD a contratar os seguintes Sub-processadores:

Nós daremos ao Cliente pelo menos 30 dias de aviso antes de adicionar ou substituir um Sub-processador, publicando a mudança em godeskflow.com/dpa ou enviando um e-mail para o contato da conta. Se o Cliente objetar razoavelmente por motivos de proteção de dados, trabalharemos de boa-fé para encontrar uma solução; se nenhuma puder ser acordada, o Cliente poderá rescindir o Serviço afetado por conveniência.

Permanecemos responsáveis perante o Cliente pelos atos e omissões de nossos Sub-processadores como se fossem nossos.

Implementamos e mantemos medidas técnicas e organizacionais apropriadas ao risco, incluindo:

Os Dados Pessoais do Cliente são hospedados na EEE. Quando a transferência de Dados Pessoais do Cliente para fora da EEE for necessária (por exemplo, quando um Subprocessador com sede nos EUA estiver envolvido), as partes incorporam as Cláusulas Contratuais Padrão por referência, com a upDevTeam LTD atuando como 'exportador de dados' para essa transferência e o Sub-processador como 'importador de dados'.

Quando o Cliente estiver estabelecido fora do EEE e os dados pessoais fluírem da upDevTeam LTD para o Cliente, as partes incorporam as SCCs (Módulo 4) para a transferência correspondente.

Realizamos uma avaliação de impacto da transferência para cada Subprocessador não EEE e aplicamos medidas suplementares (criptografia, pseudonimização) onde a avaliação as recomenda.

Se recebermos uma solicitação de um sujeito de dados em relação a Dados Pessoais do Cliente, não responderemos diretamente, exceto para confirmar o recebimento e direcionar o sujeito de dados para o Cliente. Encaminharemos a solicitação ao Cliente sem atrasos indevidos.

Forneceremos assistência razoável ao Cliente na resposta a solicitações de acesso, retificação, exclusão, restrição, portabilidade e objeção, levando em conta a natureza do processamento e as informações disponíveis para nós. Onde a solicitação for excessiva ou manifestamente infundada, poderemos cobrar uma taxa razoável.

Notificaremos o Cliente sem atrasos indevidos e, em qualquer caso, dentro de 72 horas após tomarmos conhecimento, de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A notificação incluirá as informações exigidas pelo Artigo 33(3) do GDPR, na medida do conhecido, com atualizações à medida que a investigação avança.

Cooperaremos com o Cliente para conter, investigar e documentar a violação, e não faremos qualquer declaração pública sobre isso sem o consentimento prévio do Cliente, exceto onde a lei exigir.

Fornecemos ao Cliente as informações necessárias para demonstrar conformidade com o Artigo 28 do GDPR através de (a) este DPA, (b) o documento de segurança disponível mediante solicitação, e (c) os relatórios de auditoria mais recentes de terceiros dos Subprocessadores relevantes (por exemplo, relatórios SOC 2).

Se o Cliente acreditar razoavelmente que os materiais referidos na seção 10.1 são insuficientes, o Cliente poderá, às suas custas e com pelo menos 30 dias de aviso prévio por escrito, auditar nossa conformidade com este DPA não mais do que uma vez por ano (exceto em caso de violação material), desde que a auditoria (i) seja conduzida durante o horário comercial normal, (ii) não interfira em nossas operações, (iii) seja realizada por um auditor independente obrigado a obrigações de confidencialidade apropriadas, e (iv) não inclua acesso a instalações ou dados de outros clientes.

Os relatórios de auditoria são informações confidenciais da upDevTeam LTD e podem ser compartilhados apenas com reguladores e consultores jurídicos sob confidencialidade.

Ao término do Serviço, nós, a escolha do Cliente e dentro de 30 dias a partir da data de término, devolveremos todos os Dados Pessoais do Cliente em um formato eletrônico estruturado ou os excluiremos de forma segura, exceto na medida em que a retenção seja exigida pela legislação da UE ou de Estados membros.

Cópias de backup serão excluídas de acordo com nossa retenção padrão de backup rotativo (atualmente 35 dias). Backups permanecem protegidos pelas medidas de segurança na seção 6 até serem sobrescritos.

A responsabilidade decorrente deste DPA é regida pela seção de limitação de responsabilidade dos Termos de Serviço.

Onde o Artigo 82 do GDPR aloca a responsabilidade entre controladores conjuntos, processadores e subprocessadores, as partes concordam em seguir essa alocação estatutária.

Este DPA entra em vigor na data em que o Cliente aceita os Termos de Serviço e continua enquanto a upDevTeam LTD processa Dados Pessoais do Cliente em nome do Cliente, além de qualquer período de sobrevivência necessário para cumprir obrigações nos artigos 9, 10 e 11.

Este DPA é regido pelas leis da República de Chipre, exceto que, onde as SCCs se aplicam, a legislação aplicável identificada nas SCCs prevalece para assuntos dentro do escopo das SCCs.

Notificações sob este DPA devem ser enviadas para info@godeskflow.com (questões de processamento de dados) e para info@godeskflow.com (questões de sujeitos de dados e autoridades supervisoras).