Acordo de Tratamento de Dados

Este Acordo de Tratamento de Dados ("DPA") integra o contrato de anunciante de marketing de afiliados (o "Contrato") celebrado entre a Sociedade e o Anunciante, no qual este DPA é incorporada por referência. 

1. INTERPRETAÇÃO 

1.1. Neste DPA, os seguintes termos em letra maiúscula terão os significados descritos abaixo: 

Tratamento do Anunciante	tem o significado estabelecido na Cláusula 3.2.
Regras aplicáveis	todas as leis ou regulamentos, políticas reguladoras, diretrizes ou códigos industriais que se aplicam aos Dados Pessoais da Rede.
Business Intelligence.	o tratamento de Dados Pessoais da Rede no âmbito do Contrato para fins de compreensão do uso ou interações do consumidor com quaisquer websites, aplicativos ou serviços do Anunciante, conforme determinado pelo Anunciante, por meio do uso da tecnologia da Sociedade (conforme aplicável).
Brasil	A República Federativa do Brasil.
Rastreamento entre Dispositivos	o tratamento dos Dados Pessoais da Rede no âmbito do Contrato, relativo à navegação de consumidores através de websites em múltiplos dispositivos, para fins de atribuir a indicação desse consumidor aos websites, aplicativos ou serviços do Anunciante por um terceiro veiculador de publicidade.
Lei de Proteção de Dados	GDPR, leis nacionais que implementam ou complementam o GDPR (incluindo a Lei de Proteção de Dados do Reino Unido de 2018), a LGPD, e, na medida do aplicável, as leis de proteção de dados ou privacidade de qualquer outro país.
EEA	O Espaço Econômico Europeu.
GDPR	Regulamento Geral sobre a Proteção de Dados 2016/679 do Parlamento Europeu e do Conselho.
Tratamento CC	tem o significado estabelecido na Cláusula 3.1.
Geração de Leads	o tratamento de Dados Pessoais da Rede sob o Contrato (e quaisquer acordos relacionados ou acessórios entre as Partes e quaisquer terceiros) para fins de gerar um lead de vendas para o Anunciante, a ser posteriormente utilizado nos esforços de marketing do próprio Anunciante.
LGPD	A Lei Geral de Proteção de Dados Pessoais do Brasil Lei nº 13.709/2018.
Dados Pessoais da Rede	quaisquer dados pessoais tratados por qualquer uma das Partes em conexão com a prestação dos Serviços no âmbito do Contrato.
Integração Plugin	o tratamento de Dados Pessoais da Rede no âmbito do Contrato (e quaisquer acordos relacionados ou acessórios entre as Partes e quaisquer terceiros) com a finalidade de facilitar a integração de quaisquer websites, aplicativos ou serviços do Anunciante com a tecnologia de um terceiro fornecedor de adtech, por meio do uso da tecnologia da Sociedade (conforme aplicável).
Divulgação	o tratamento de dados pessoais para fins de divulgação de Rastreamento e Rastreamento entre Dispositivos, e "Relatórios" devem ser interpretados da mesma forma.
Serviços	os serviços prestados pela (ou em nome da) Sociedade ao Anunciante nos termos do Contrato.
Suboperador	qualquer pessoa (excluindo funcionários de qualquer das Partes) indicada por ou em nome de qualquer uma das Partes para Tratar Dados Pessoais em nome de tal Parte ou de outra forma relacionado ao Contrato.
Rastreamento	o tratamento de Dados Pessoais da Rede no âmbito do Contrato, relativo à navegação do consumidor através de websites em um único dispositivo, com a finalidade de atribuir a indicação desse consumidor para os websites, aplicativos ou serviços do Anunciante por um terceiro veiculador de publicidade.
Consultas de Transações	o tratamento de Dados Pessoais da Rede no âmbito do Contrato, relativo à navegação de consumidores através de websites, realizadas a pedido de um terceiro veiculador de publicidade, com a finalidade de reavaliar a atribuição de quaisquer indicações de consumidores aos websites, aplicativos ou serviços do Anunciante por Rastreamento ou Rastreamento entre Dispositivos.

1.2. Os termos, “Controlador”, “Titular de Dados”, “Autoridade Nacional”, “Dado Pessoal”, “Incidente de Segurança de Dados”, “Tratamento”, “Operador” e “Caracterização” terão os significados dados a eles no GDPR. 

2. GERAL  

2.1. Este DPA constitui tanto um acordo entre Controladores conjuntos, conforme o Artigo 26 do GDPR, quanto um contrato entre um Controlador e um Operador conforme o Artigo 28(3) do GDPR, de acordo com o quanto estabelecido abaixo e conforme o contexto exigir ou permitir. 

2.2. Este DPA somente se aplicará na medida em que as Partes estiverem Tratando Dados Pessoais da Rede. 

 2.3. No caso de inconsistências entre o disposto neste DPA e no Contrato, este DPA terá precedência, a menos que explicitamente acordado de outra forma por escrito.  

3. TRATAMENTO DE DADOS PESSOAIS DA REDE 

3.1. A Sociedade e o Anunciante devem agir como Controladores conjuntos em relação ao Tratamento de Dados Pessoais da Rede para os fins de: 

3.1.1. Rastreamento;

3.1.2. Rastreamento entre Dispositivos; 

3.1.3. Divulgação; e 

3.1.4. Consultas de Transações. 

em conjunto, "Tratamento CC", e este DPA estabelece os acordos feitos entre as Partes de acordo com o Artigo 26 do GDPR em relação a esse Tratamento. 

3.2. O Anunciante atuará como Controlador, e a Sociedade atuará como Operador, em relação a qualquer Tratamento de Dados Pessoais da Rede, para os fins de: 

3.2.1. captura de nomes de consumidores e informações de contato em nome da Geração de Leads do Anunciante;  

3.2.2. Business Intelligence; e  

3.2.3. Integração Plugin. 

em conjunto, "Tratamento do Anunciante", e este DPA estabelece o acordo feito entre as Partes conforme o Artigo 28 do GDPR em relação a este Tratamento e qualquer outro Tratamento sob o qual uma Parte atue como Controlador e a outra Parte atue como Operador. 

3.3. O Tratamento de Dados Pessoais da Rede para Geração de Leads pode ser realizado sujeito a outros acordos entre as Partes e terceiros (conforme aplicável). 

3.4. A Sociedade e o Anunciante cumprirão, cada um, suas respectivas obrigações sob a Lei de Proteção de Dados. Cada Parte fornecerá à outra Parte qualquer cooperação razoavelmente solicitada para permitir que a outra Parte cumpra esta Cláusula 3. 

 3.5. O Anunciante não fornecerá quaisquer Dados Pessoais à Sociedade sem o consentimento prévio por escrito da Sociedade, a menos que previsto pela Sociedade na operação normal de sua rede de marketing de afiliados e anunciantes facilitando, entre outras coisas, o marketing de afiliados e de desempenho. 

 3.6. O Anunciante não visará o Tratamento de Dados Pessoais de menores de 18 (dezoito) anos ("Menores de Idade"). 

3.6.1. O Anunciante somente tratará Dados Pessoais de Menores de Idade no melhor interesse deles e, em cada caso, com o consentimento específico e proeminente de um dos pais ou tutores legais do Menor de Idade. 

 3.6.2. O Anunciante empreenderá todos os esforços razoáveis para verificar se o consentimento foi concedido pelo tutor legal do Menor, considerando a tecnologia disponível. 

3.6.3. O Anunciante concorda em oferecer acesso livre às informações sobre o tipo de dados coletados, a forma de uso e os procedimentos para que os Titulares dos Dados exerçam seus direitos sob a Lei de Proteção de Dados, e tais informações devem ser disponibilizadas no idioma oficial do país em que (i) a atividade de Tratamento de Dados é realizada, (ii) os Titulares dos Dados visados pela atividade de Tratamento são localizados, ou (iii) os Dados Pessoais foram coletados. 

 4. TERMOS APLICÁVEIS AO TRATAMENTO CC 

4.1. Esta Cláusula 4 se aplicará somente em relação a qualquer Tratamento CC. 

4.2. Ambas as Partes concordam conjuntamente que, em relação ao Tratamento CC, o Artigo 6(1)(f) do GDPR se aplica ao Tratamento de Dados Pessoais da Rede, e que o Tratamento de Dados Pessoais da Rede é necessário para os fins do legítimo interesse perseguido por ambas as Partes e/ou por um terceiro. 

4.3.Transparência 

4.3.1. O Anunciante deve tomar as medidas apropriadas para fornecer aos Titulares dos Dados as informações sobre como os Dados Pessoais da Rede são tratados pelo Anunciante ou em seu nome, as quais devem incluir, no mínimo, todas as informações exigidas pelos Artigos 13, 14 e 26 do GDPR, de forma concisa, transparente e facilmente acessível, usando linguagem clara e simples ("Política de Privacidade do Anunciante"). 

4.3.2. a Sociedade deve tomar as medidas apropriadas para fornecer aos Titulares dos Dados as informações sobre como os Dados Pessoais da Rede são tratados pela Sociedade ou em seu nome, as quais devem incluir, no mínimo, todas as informações exigidas pelos Artigos 13, 14 e 26 do GDPR, de forma concisa, transparente e facilmente acessível, usando linguagem clara e simples ("Política de Privacidade da Sociedade"). 

4.3.3. O Anunciante deve: 

(A) incluir um hyperlink para o atual Aviso de Tratamento Justo da Sociedade no Aviso de Tratamento Justo do Anunciante; ou 

(B) assegurar que o Aviso de Tratamento Justo do Anunciante contenha informações suficientes para permitir que a Sociedade trate os Dados Pessoais da Rede de acordo com os artigos 13, 14 e 26 do GDPR. 

4.4. Direitos dos Titulares dos Dados 

4.4.1. Cada Parte deverá cumprir suas obrigações de responder aos pedidos dos Titulares dos Dados para exercer seus direitos de acordo com a Lei de Proteção de Dados. A menos que acordado de outra forma por escrito entre as Partes, o primeiro destinatário de qualquer pedido de um Titular dos Dados para exercer seus direitos sob a Lei de Proteção de Dados será o principal responsável por sua resposta. Cada Parte fornecerá à outra Parte qualquer cooperação razoavelmente solicitada para permitir que a outra Parte cumpra com esta Cláusula 4.4. 

 4.5. Colaboradores 

4.5.1. Cada Parte deverá tomar medidas razoáveis para assegurar a confiabilidade de qualquer funcionário, preposto ou contratado que possa ter acesso aos Dados Pessoais da Rede, assegurando em cada caso que o acesso seja: 

(A) estritamente limitado às pessoas que precisam conhecer e/ou acessar os Dados Pessoais da Rede relevantes; e 

(B) conforme estritamente necessário para os objetivos do Contrato e para cumprir as Regras Aplicáveis no âmbito das obrigações daquele indivíduo.  

 4.5.2. Cada Parte deverá assegurar que todos os indivíduos mencionados na Cláusula 4.5.1 estejam sujeitos a compromissos de confidencialidade ou obrigações profissionais ou estatutárias de confidencialidade. 

4.6. Segurança e Confidencialidade dos Dados 

4.6.1. Cada Parte deverá, em relação aos Dados Pessoais da Rede, implementar medidas técnicas e organizacionais apropriadas para garantir um nível apropriado de segurança, incluindo, conforme aplicável, as medidas referidas no Artigo 32(1) do GDPR. Ao fazer isso, cada Parte deverá levar em conta: 

(A) o estado da técnica, os custos de implementação e a natureza, escopo, contexto e objetivos do Tratamento; e  

(B) o risco da probabilidade e severidade variáveis para os direitos e liberdades de pessoas físicas. 

4.6.2. Ao avaliar o nível adequado de segurança, cada Parte deverá levar em consideração, em particular, os riscos que são apresentados pelo Tratamento, inclusive de destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso aos Dados Pessoais da Rede transmitidos, armazenados ou Tratados de outra forma. 

 4.7. Violação de Dados Pessoais  

4.7.1. Cada Parte deverá:  

(A) notificar a outra Parte sem demora indevida ao tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais da Rede ("Violação de Dados da Rede");  

(B) fornecer à outra Parte informações suficientes para permitir que ela cumpra qualquer obrigação de comunicar ou informar os Titulares dos Dados sobre a Violação de Dados da Rede no âmbito ou de acordo com a Lei de Proteção de Dados; 

(C) consultar significativamente a outra Parte a respeito da estratégia de comunicação externa e relações públicas relacionadas com a Violação de Dados da Rede; 

(D) sujeito à Lei de Proteção de Dados, não notificar nenhuma entidade reguladora da Violação de Dados da Rede sem ter obtido aprovação prévia por escrito da outra Parte; e  

(E) não emitir um comunicado à imprensa ou comunicar-se com qualquer membro da imprensa a respeito da Violação de Dados da Rede sem ter obtido aprovação prévia por escrito da outra Parte, a menos que assim seja exigido por decisão administrativa ou judicial final e obrigatória, e, neste caso, deverá notificar imediatamente a outra Parte.  

4.7.2. A notificação estabelecida na Cláusula 4.7.1(a) acima, deverá, no mínimo: 

(A) descrever a natureza da Violação dos Dados da Rede, as categorias e números dos Titulares dos Dados em questão, e as categorias e números dos registros dos Dados Pessoais em questão; 

(B) descrever as prováveis consequências da Violação de Dados da Rede; e 

(C) descrever as medidas tomadas ou propostas para resolver a Violação dos Dados da Rede. 

 4.7.3. O Anunciante deve cooperar com a Sociedade e tomar as medidas comerciais razoáveis que lhe forem dirigidas para ajudar na investigação, mitigação e remediação de cada Violação de Dados da Rede. 

4.8. Transferências de dados 

4.8.1. Nenhuma das Partes poderá transferir Dados Pessoais da Rede para países fora do Brasil em violação à Lei de Proteção de Dados. 

4.9. Caracterização 

4.9.1. O Anunciante não deverá utilizar quaisquer Dados Pessoais revelados por quaisquer Relatórios para a caracterização dos consumidores. 

4.10. Contratação de Operadores 

Com respeito a um Operador proposto, cada Parte deverá: 

4.10.1. antes de o Operador Tratar Dados Pessoais da Rede pela primeira vez, realizar a devida diligência para assegurar que o Operador seja capaz de fornecer o nível de proteção dos Dados Pessoais da Rede exigido pela Lei de Proteção de Dados; e 

4.10.2. assegurar que o acordo com tal Operador seja regido por um contrato escrito incluindo termos que atendam aos requisitos do Artigo 28(3) do GDPR. 

5. TERMOS APLICÁVEIS AO TRATAMENTO PELO ANUNCIANTE 

5.1. Esta Cláusula 5 se aplicará somente em relação a qualquer Tratamento realizado pelo Anunciante (se aplicável). 

5.2. A Sociedade deverá: 

5.2.1. Tratar Dados Pessoais para fins de Tratamento pelo Anunciante somente de acordo com as instruções do Anunciante - que devem ser por escrito, de forma clara e comunicadas com antecedência razoável - inclusive em relação à eliminação ou devolução de Dados Pessoais; 

5.2.2. disponibilizar ao Anunciante as informações solicitadas em relação aos Dados Pessoais com pelo menos 10 (dez) dias de antecedência e durante o horário comercial normal, necessários para demonstrar o cumprimento desta Cláusula 5.2, inclusive para permitir e contribuir para auditorias razoáveis, conduzidas pelo Anunciante ou pelo auditor designado pelo Anunciante (estando tais auditores designados sujeitos à aprovação prévia por escrito da Sociedade); 

5.2.3. notificar prontamente o Anunciante se receber qualquer solicitação de um Titular dos Dados para exercer seus direitos sob a Lei de Proteção de Dados, e fornecer ao Anunciante qualquer cooperação razoavelmente solicitada para permitir ao Anunciante responder a tais solicitações; 

5.2.4. contratar Suboperadores de forma consistente com a cláusula 4.10; e 

5.2.5. cumprir as cláusulas 4.5 - 4.8. 

5.3. O Anunciante concede uma autorização geral à Sociedade, conforme o artigo 28(2) do GDPR, para contratar Suboperadores. A Sociedade deve informar ao Anunciante quaisquer alterações pretendidas em relação à adição ou substituição de Suboperadores. 

6. TRATAMENTO POSTERIOR 

6.1. Em relação a qualquer outro Tratamento adicional de Dados Pessoais da Rede no âmbito do Contrato, na medida em que não especificado de outra forma neste DPA, qualquer Parte, atuando como Operador, deverá: 

6.1.1. Tratar Dados Pessoais da Rede para tais fins somente de acordo com as instruções do Controlador, inclusive em relação à eliminação ou devolução de Dados Pessoais; 

6.1.2. disponibilizar ao Controlador as informações solicitadas em relação aos Dados Pessoais da Rede, com pelo menos 10 (dez) dias de antecedência e durante o horário comercial normal, necessárias para demonstrar o cumprimento desta Cláusula 6.1, inclusive para permitir e contribuir para auditorias razoáveis, conduzidas pelo Controlador ou pelo auditor designado pelo Controlador (estando tais auditores designados sujeitos à aprovação prévia por escrito da Sociedade);  

6.1.3. notificar prontamente o Controlador se ele receber qualquer solicitação de um Titular de Dados para exercer seus direitos sob a Lei de Proteção de Dados, e fornecer ao Controlador qualquer cooperação razoavelmente solicitada para permitir ao Controlador responder a tais solicitações;  

6.1.4. ontratar Suboperadores de forma consistente com a cláusula 4.10; 

6.1.5. cumprir com as cláusulas 4.5 - 4.8. 

6.2. No caso de qualquer conflito entre esta Cláusula 6 e qualquer outro acordo entre as Partes em relação ao mesmo Tratamento, referido contrato terá precedência. 

7. RESPONSABILIDADE

7.1. Cada Parte será exclusivamente responsável por quaisquer custos, reclamações, perdas, danos, despesas ou multas decorrentes de: 

7.1.1. sua violação à Lei de Proteção de Dados; 

7.1.2. sua violação deste DPA ou do Contrato; 

7.1.3. Tratamento de Dados Pessoais em sua posse; e 

7.1.4. eventos pelos quais é responsável; 

e, portanto, não haverá responsabilidade solidária entre as Partes em relação a tais violações. Cada Parte concorda em indenizar e isentar a outra Parte de e contra, diretamente ou de terceiros, todas as reclamações, ações, processos, perdas, custos, responsabilidades, decisões judiciais, danos e despesas, incluindo honorários advocatícios razoáveis, custas judiciais, despesas judiciais e despesas relacionadas (coletivamente "Reclamações") decorrentes de ou relacionadas à violação deste DPA e/ou da Lei de Proteção de Dados pela outra Parte, independentemente de qualquer disposição de limitação de responsabilidade acordada pelas Partes. A Parte infratora deverá reembolsar a Parte inocente do valor incorrido em qualquer Reclamação em um período de 15 (quinze) dias. Em caso de infração mútua e/ou falhas concomitantes, cada Parte deverá responder na medida de sua responsabilidade. 

7.2. A Sociedade não será responsável por qualquer violação da Lei de Proteção de Dados que surja em relação ao Tratamento por ou em conexão com qualquer terceiro fornecedor de adtech cuja tecnologia possa ser integrada com quaisquer websites, aplicativos ou serviços do Anunciante pelo uso da tecnologia da Sociedade (conforme aplicável de tempos em tempos). 

 7.3. Nada neste DPA limita ou exclui a responsabilidade de qualquer das Partes por morte, danos pessoais, fraude, deturpação ou declaração falsa fraudulentas. 

8. ALTERAÇÕES A ESTE DPA 

8.1. A Sociedade pode, em pelo menos 7 (sete) dias de aviso por escrito ao Anunciante (inclusive através da publicação de um aviso na Interface) fazer variações vinculantes a este DPA, que a Sociedade razoavelmente considera necessárias para atender às exigências da Lei de Proteção de Dados. 

 9. SEPARABILIDADE 

9.1. Caso qualquer disposição deste DPA seja inválida ou inaplicável, o restante deste DPA permanecerá válido e em vigor. A disposição inválida ou inexequível deverá ser:  

9.2. emendada conforme necessário para assegurar sua validade e aplicabilidade, enquanto preserva as intenções das Partes o mais próximo possível; ou, se isso não for possível 

9.3. interpretada como se a parte inválida ou inexequível nunca tivesse integrado este DPA. 

10. DIREITOS DE TERCEIROS

10.1. Terceiros não terão o direito de fazer cumprir qualquer um dos termos deste DPA.  

11. LEI APLICÁVEL E JURISDIÇÃO 

11.1. A jurisdição deste DPA será a do Brasil e a Lei de Proteção de Dados aqui definida será aplicável.