Este Adendo de Processamento de Dados, assinado pela Skyfii ("Processador de Dados") e pelo Cliente ("Controlador de Dados"), cumpre os requisitos do Regulamento Geral de Proteção de Dados (EU) 2016/679 ("GDPR"), em vigor desde 25 de maio de 2018.
Este Adendo de Processamento de Dados ("DPA"), incluindo as Cláusulas Contratuais Padrão, complementa o Contrato de Cliente Skyfii (definido abaixo) quando o GDPR se aplica ao seu uso dos Serviços Skyfii para processar Dados Pessoais. Esta DPA é um acordo entre você e a entidade que você representa ("Cliente", "você" ou "seu") e Skyfii Group Pty Ltd (ACN 165 152 241) e suas afiliadas ("Skyfii", "nós" ou "nós") ou um revendedor dos Serviços (conforme aplicável), e reflete o acordo das partes com relação aos termos que regem o Processamento de Dados Pessoais nos termos do Contrato de Cliente Skyfii. Nesta DPA, uma referência ao Acordo de Cliente Skyfii é uma referência a um dos seguintes itens:
- Skyfii Master Service Agreement (MSA);
- Acordo de Serviços da Skyfii;
- Contrato de Revenda Skyfii;
- Termos de Licença de Cliente Skyfii - Skyfii Customer License Terms - www.skyfii.io/customer-termsou
- Qualquer outro acordo entre o Cliente e a Skyfii que regule o uso dos Serviços da Skyfii pelo Cliente,
cada um deles um "Acordo de Cliente Skyfii" e referido genericamente nesta DPA como o "Acordo".
ESTE DPA INCLUI:
- Lista de Subprocessadores, anexa como Anexo 1.
- Cláusulas Contratuais Padrão, anexas como Anexo 2.
- Apêndice 1 às Cláusulas Contratuais-tipo, que inclui especificidades sobre os Dados Pessoais transferidos pelo exportador de dados para o importador de dados.
- Apêndice 2 das cláusulas contratuais-tipo, que inclui uma descrição das medidas de segurança técnicas e organizacionais aplicadas pelo importador de dados, tal como referido.
1. Definições
"Controlador" significa a pessoa singular ou colectiva, autoridade pública, agência ou outro organismo que, sozinho ou em conjunto com outros, determina as finalidades e meios do Processamento de Dados Pessoais e nesta DPA o Cliente (tal como definido no Contrato) é o Controlador.
"Legislação de protecção de dados", toda a legislação aplicável em matéria de protecção de dados e privacidade, incluindo, sem limitação, o RGPD, juntamente com quaisquer leis nacionais de execução em qualquer Estado-Membro da União Europeia ou, na medida do aplicável, em qualquer outro país, conforme alterada, revogada, consolidada ou substituída de tempos a tempos.
"Sujeito dos Dados" significa o indivíduo natural e vivo a quem os Dados Pessoais se referem.
"Documentação" significa o registro de instruções, incluindo todas as especificações, colocadas por ou em nome do Cliente para os Serviços sujeitos ao Contrato.
"Usuários Finais" significa visitantes de locais cujos dispositivos móveis são detectados por WiFi e cujos dispositivos detalhados são registrados e monitorados pela Skyfii; e indivíduos que se registram para usar serviços WiFi para convidados fornecidos pelo Cliente em suas instalações, locais e locais
"RGPD", o Regulamento Geral de Proteção de Dados (UE) 2016/679, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
"Instrução" significa a instrução escrita e documentada, emitida pelo responsável pelo tratamento ao responsável pelo tratamento, que a encaminha para uma acção específica no que respeita aos dados pessoais (incluindo, mas não se limitando a, despersonalização, bloqueio, eliminação, disponibilização).
"Dados Pessoais" significa qualquer informação relacionada a um indivíduo identificado ou identificável onde tal informação está contida nos Dados do Cliente e é protegida similarmente como dados pessoais ou informações pessoalmente identificáveis de acordo com a Lei de Proteção de Dados aplicável.
"Violação de Dados Pessoais", uma violação da segurança que conduz à destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais transmitidos, armazenados ou processados de outra forma, de forma acidental ou ilegal.
"Plataforma" significa a plataforma tecnológica desenvolvida e operada pela Skyfii e utilizada pelos Clientes para fins de análise da localização dos visitantes, para coletar informações dos Usuários Finais e interagir com os Usuários Finais.
"Tratamento" significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais, abrangendo a coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, disseminação ou disponibilização, alinhamento ou combinação, restrição ou apagamento de Dados Pessoais. Os termos "processo", "processos" e "processado" serão interpretados em conformidade.
"Processador" significa uma pessoa singular ou colectiva, autoridade pública, serviço ou outro organismo que processa dados pessoais em nome do responsável pelo tratamento. Na presente APD, a Skyfii (tal como definida no Acordo) é o processador.
"Serviços" significa os serviços a serem prestados pela Skyfii ao Cliente conforme estabelecido no Contrato.
"Cláusulas Contratuais-tipo" significa as cláusulas anexadas como Anexo 2 em conformidade com a decisão da Comissão Europeia (C(2010)593) de 5 de Fevereiro de 2010 sobre as cláusulas contratuais-tipo relativas à transferência de dados pessoais para subcontratantes estabelecidos em países terceiros que não asseguram um nível adequado de protecção de dados.
"Locais" significa instalações do Cliente, locais e locais em que os serviços WiFi são oferecidos aos Indivíduos que utilizam a Plataforma.
"Serviço WiFi" significa o acesso à Internet sem fio para convidados oferecido pelo Cliente em um Local usando sua rede sem fio junto com a Plataforma.
2. Detalhes do processamento
2.1. | Categorias de titulares de dados: Categorias de titulares de dados cujos dados pessoais serão processados abrangem:
|
2.2. | Categorias de Dados Pessoais: Categorias de Dados Pessoais a serem Processados pela Skyfii cobre:
|
2.3. | Natureza e Finalidade do Processamento: A Skyfii processará os Dados Pessoais para fins de prestação dos Serviços ao Cliente. |
2.4. | Duração do processamento: A Skyfii processará os Dados Pessoais até que o Serviço seja encerrado pelo Cliente. |
3. Responsabilidade do Cliente
3.1. | As partes reconhecem e concordam que o Cliente é o Controlador de Dados Pessoais e a Skyfii é o Processador desses dados. No que diz respeito à utilização dos serviços, o Controlador é o único responsável pelo cumprimento dos requisitos legais relativos à protecção de dados e à privacidade, em particular no que diz respeito à divulgação e transferência de dados pessoais para o Processador e ao processamento de dados pessoais. |
3.2. | Para evitar dúvidas, as instruções do Controlador para o Processamento de Dados Pessoais devem estar em conformidade com a Lei de Proteção de Dados. Esta DPA é a instrução completa e final do Cliente à Skyfii em relação aos Dados Pessoais e que instruções adicionais fora do escopo da DPA requerem acordo prévio por escrito entre as partes. As instruções serão inicialmente especificadas no Acordo e poderão, periodicamente, ser posteriormente alteradas, amplificadas ou substituídas pelo responsável pelo tratamento em instruções escritas separadas (como instruções individuais). |
3.3. | O controlador deve informar o Processador sem demora injustificada e de forma abrangente sobre quaisquer erros ou irregularidades relacionados com as disposições legais sobre o processamento de dados pessoais. |
4. Obrigações do processador
4.1. | Conformidade com as instruções: O Processador deve coletar, processar e usar os Dados Pessoais somente dentro do escopo das Instruções do Controlador. Se o processador acreditar que uma instrução do controlador infringe a lei da proteção de dados, deve imediatamente informar o controlador sem atraso. Se o Processador não puder processar dados pessoais de acordo com as instruções devido a uma exigência legal ao abrigo da legislação aplicável da União Europeia ou dos Estados-Membros, o Processador (i) notificará imediatamente o Controlador dessa exigência legal antes do respectivo processamento, na medida permitida pela Lei de Protecção de Dados; e (ii) cessará todo o processamento (para além do simples armazenamento e manutenção da segurança dos dados pessoais em causa) até que o Controlador emita novas instruções que o Processador possa cumprir. Se esta disposição for invocada, o responsável pelo tratamento não será responsável perante o responsável pelo tratamento nos termos do acordo por qualquer falha na execução dos serviços aplicáveis até que o responsável pelo tratamento emita novas instruções relativas ao tratamento. |
4.2. | Segurança: O responsável pelo tratamento tomará as medidas técnicas e organizativas adequadas para proteger adequadamente os dados pessoais contra a destruição, perda, alteração, divulgação ou acesso não autorizados aos dados pessoais, acidentais ou ilícitos, descritos no apêndice 2 das cláusulas contratuais-tipo. Essas medidas incluem, mas não se limitam a elas:
A pedido do responsável pelo tratamento, o responsável pelo tratamento deve fornecer um programa actual de protecção e segurança dos dados pessoais relativo ao tratamento em causa; o responsável pelo tratamento facilitará o cumprimento pelo responsável pelo tratamento da sua obrigação de aplicar medidas de segurança em relação aos dados pessoais (incluindo, se aplicável, as obrigações do responsável pelo tratamento nos termos dos artigos 32.o a 34.o (inclusive) do RGPD), i) aplicando e mantendo as medidas de segurança descritas no anexo 2, ii) respeitando os termos da secção 4.4 (Violação de dados pessoais), e iii) fornecendo ao responsável pelo tratamento informações relativas ao tratamento em conformidade com a secção 5 (Auditoria). |
4.3. | Confidencialidade: O Processador deve assegurar que todo o pessoal que o Processador autoriza a processar dados pessoais em seu nome está sujeito às obrigações de confidencialidade em relação a esses dados pessoais. O compromisso de confidencialidade mantém-se após o termo das actividades acima referidas. |
4.4. | Violações de Dados Pessoais: O Processador notificará o Controlador logo que possível após tomar conhecimento de qualquer Violação de Dados Pessoais que afecte quaisquer Dados Pessoais. A pedido do responsável pelo tratamento, o responsável pelo tratamento prestará imediatamente ao responsável pelo tratamento toda a assistência razoável necessária para lhe permitir notificar as violações de dados pessoais pertinentes às autoridades competentes e/ou aos titulares dos dados afectados, se este for obrigado a fazê-lo ao abrigo da lei relativa à protecção de dados. |
4.5. | Solicitações de Sujeitos de Dados: O responsável pelo tratamento prestará uma assistência razoável, nomeadamente através de medidas técnicas e organizativas adequadas e tendo em conta a natureza do tratamento, para permitir ao responsável pelo tratamento responder a qualquer pedido dos titulares dos dados que pretendam exercer os seus direitos ao abrigo da legislação sobre protecção de dados no que diz respeito aos dados pessoais (incluindo acesso, rectificação, restrição, supressão ou portabilidade dos dados pessoais, consoante o caso), na medida do permitido por lei. Se esse pedido for feito directamente ao responsável pelo tratamento, este informará imediatamente o responsável pelo tratamento e aconselhará os titulares dos dados a apresentarem o seu pedido ao responsável pelo tratamento. O responsável pelo tratamento será o único responsável pela resposta a quaisquer pedidos dos titulares dos dados. O responsável pelo tratamento reembolsará ao responsável pelo tratamento os custos decorrentes desta assistência. |
4.6. | Sub-processadores: O responsável pelo tratamento só poderá contratar subcontratantes para cumprir as obrigações do responsável pelo tratamento, definidas no acordo, com o consentimento escrito do responsável pelo tratamento. Para tanto, o Controlador consente a contratação como Sub-Processadores das empresas coligadas do Processador e dos terceiros listados no Anexo 1. Para evitar dúvidas, a autorização acima referida constitui o consentimento prévio por escrito do Controlador para o sub-processamento pelo Processador para efeitos da Cláusula 11 das Cláusulas Contratuais Gerais. Se o Processador pretender instruir os Sub-processadores que não sejam as empresas listadas no Anexo 1, o Processador notificará o Controlador por escrito (por meio de notificação no aplicativo no portal Skyfii IO) e dará ao Controlador a oportunidade de se opor à contratação dos novos Sub-processadores dentro de 30 dias após ser notificado. A objeção deve ser baseada em fundamentos razoáveis (por exemplo, se o controlador provar que existem riscos significativos para a proteção de seus dados pessoais no sub-processador). Se o Processador e o Controlador não forem capazes de resolver tal objeção, qualquer uma das partes poderá rescindir o Contrato fornecendo um aviso por escrito à outra parte. O responsável pelo tratamento deve receber um reembolso de quaisquer taxas pré-pagas mas não utilizadas durante o período subsequente à data efetiva de cessação. Quando o Processador contratar Subprocessadores, o Processador celebrará um contrato com o Subprocessador que impõe ao Subprocessador as mesmas obrigações que se aplicam ao Processador ao abrigo da presente APD. Se o subcontratante não cumprir as suas obrigações em matéria de protecção de dados, o subcontratante continuará a ser responsável perante o responsável pelo tratamento pelo cumprimento dessas obrigações. Se for contratado um subcontratante, o responsável pelo tratamento deve ter o direito de controlar e inspeccionar as actividades do subcontratante em conformidade com a presente APD e com a Lei de Protecção de Dados, nomeadamente para obter informações do responsável pelo tratamento, mediante pedido por escrito, sobre o conteúdo do contrato e o cumprimento das obrigações de protecção de dados previstas no contrato de subcontratação, se necessário através da inspecção dos documentos contratuais pertinentes. As disposições da presente secção 4.6 aplicam-se mutuamente se o responsável pelo tratamento contratar um subcontratante secundário num país fora do Espaço Económico Europeu ("EEE") não reconhecido pela Comissão Europeia como assegurando um nível adequado de protecção dos dados pessoais. Se, no desempenho da presente APD, a Skyfii transferir quaisquer Dados Pessoais para um subcontratante localizado fora do EEE, a Skyfii deverá, antes dessa transferência, assegurar a existência de um mecanismo legal que garanta a adequação desse tratamento. |
4.7. | Transferências de dados: O Controlador reconhece e concorda que, em relação à prestação dos serviços ao abrigo do Contrato, os Dados Pessoais serão transferidos para o Skyfii Group Pty Ltd (ACN 165 152 241) e outras subsidiárias na Austrália. As Cláusulas Contratuais Padrão do Anexo 2 serão aplicáveis aos Dados Pessoais transferidos para fora do EEE, directamente ou através de transferência para a Austrália e para qualquer país não reconhecido pela Comissão Europeia como proporcionando um nível adequado de protecção de dados pessoais (conforme descrito na Lei de Protecção de Dados). |
4.8. | Eliminação ou recuperação de dados pessoais: Salvo na medida do necessário para cumprir com a Lei de Proteção de Dados, após a rescisão ou expiração do Contrato, o Processador excluirá todos os Dados Pessoais (incluindo cópias dos mesmos) processados de acordo com esta DPA. Se o Processador não puder apagar dados pessoais por razões técnicas ou outras, o Processador aplicará medidas para garantir que os dados pessoais sejam bloqueados de qualquer processamento adicional. O responsável pelo tratamento deve, após a rescisão ou expiração do acordo e mediante a emissão de uma instrução, estipular, num prazo fixado pelo responsável pelo tratamento, as medidas razoáveis para devolver os dados ou apagar os dados armazenados. Quaisquer custos adicionais decorrentes da devolução ou eliminação de dados pessoais após a rescisão ou expiração do contrato serão suportados pelo Controlador. |
5. Auditorias
5.1. | O responsável pelo tratamento pode, antes do início do tratamento e, posteriormente, a intervalos regulares, auditar as medidas técnicas e organizativas tomadas pelo responsável pelo tratamento. Para esse efeito, o controlador pode:
|
5.2. | Mediante pedido escrito do responsável pelo tratamento, e num prazo razoável, o responsável pelo tratamento deve fornecer-lhe todas as informações necessárias para essa auditoria, na medida em que essas informações estejam sob o seu controlo e o responsável pelo tratamento não esteja impedido de as divulgar por força da legislação aplicável, de um dever de confidencialidade ou de qualquer outra obrigação devida a terceiros. |
6. Disposições Gerais
Em caso de qualquer conflito, esta APD terá precedência sobre os regulamentos do Acordo. Quando as disposições individuais desta APD forem inválidas ou inaplicáveis, a validade e a aplicabilidade das outras disposições desta APD não serão afectadas.
Após a incorporação desta APD no Acordo, as partes indicadas na Secção 7 infra (Partes na presente APD) estão a acordar as Cláusulas Contratuais Gerais (onde e como aplicável) e todos os apêndices a elas anexos. No caso de qualquer conflito ou inconsistência entre esta DPA e as Cláusulas Contratuais Padrão do Anexo 2, prevalecerão as Cláusulas Contratuais Padrão.
7. Partes na presente APD
Esta DPA é uma emenda ao Acordo e faz parte integrante do mesmo. Após a incorporação desta APD no Acordo, a Controller e a Skyfii Group Pty Ltd (ACN 165 152 241) são partes nesta APD.
A entidade jurídica que concorda com esta APD como Controlador declara que está autorizada a aceitar e a celebrar esta APD e que concorda com esta APD unicamente em nome do Controlador.
EXPOSIÇÃO 1
Os sub-processadores da Skyfii estão listados em:
EXPOSIÇÃO 2
Cláusulas Contratuais Padrão (Processadores)
Para efeitos do n.o 2 do artigo 26.o da Directiva 95/46/CE, a transferência de dados pessoais para subcontratantes estabelecidos em países terceiros que não assegurem um nível adequado de protecção de dados,
O Cliente conforme definido no Contrato de Cliente Skyfii (o "exportador de dados")
E
Skyfii Group Pty Ltd (ACN 165 152 241), Level 2, 100 William Street, Woolloomooloo, SYDNEY NSW 2011, AUSTRÁLIA ("importador de dados"),
cada uma "parte"; em conjunto, "as partes",
ACORDARAM nas seguintes cláusulas contratuais (as "cláusulas") a fim de apresentar garantias adequadas no que diz respeito à protecção da privacidade e dos direitos e liberdades fundamentais das pessoas singulares para a transferência, pelo exportador de dados para o importador de dados, dos dados pessoais especificados no apêndice 1.
Cláusula 1
Definições
Para efeitos das cláusulas:
- Dados pessoais", "categorias especiais de dados", "tratamento/tratamento", "responsável pelo tratamento", "subcontratante", "pessoa em causa" e "autoridade de controlo" têm a mesma acepção que na Directiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de Outubro de 1995, relativa à protecção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados;
- exportador de dados", o responsável pelo tratamento que transfere os dados pessoais;
- Importador de dados", o subcontratante que aceita receber do exportador de dados dados dados pessoais destinados a serem tratados em seu nome após a transferência, em conformidade com as suas instruções e nos termos das cláusulas, e que não está sujeito a um sistema de um país terceiro que garanta uma protecção adequada na acepção do n.o 1 do artigo 25.o da Directiva 95/46/CE;
- Subcontratante", qualquer subcontratante contratado pelo importador de dados ou por qualquer outro subcontratante do importador de dados que aceite receber do importador de dados ou de qualquer outro subcontratante do importador de dados dados dados pessoais destinados exclusivamente a actividades de tratamento a realizar por conta do exportador de dados após a transferência, de acordo com as suas instruções, as condições das cláusulas e as condições do subcontrato escrito;
- Legislação de proteção de dados aplicável", a legislação de proteção dos direitos e liberdades fundamentais das pessoas singulares e, em especial, do seu direito à privacidade no que diz respeito ao tratamento de dados pessoais aplicável a um responsável pelo tratamento de dados no Estado-Membro em que o exportador de dados está estabelecido;
- Medidas técnicas e organizativas de segurança", as medidas destinadas a proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito.
Cláusula 2
Detalhes da transferência
Os pormenores da transferência e, em especial, as categorias especiais de dados pessoais, quando aplicável, são especificados no apêndice 1, que faz parte integrante das cláusulas.
Cláusula 3
Cláusula do terceiro beneficiário
- O titular dos dados pode aplicar contra o exportador de dados a presente cláusula, as alíneas b) a i) da cláusula 4, as alíneas a) a e) e g) a j) da cláusula 5, os n.os 1 e 2 da cláusula 6, a cláusula 7, o n.o 2 da cláusula 8 e as cláusulas 9 a 12 como terceiro beneficiário.
- O titular dos dados pode impor ao importador de dados a presente cláusula, a cláusula 5, alíneas a) a e) e g), a cláusula 6, a cláusula 7, a cláusula 8, n.o 2, e as cláusulas 9 a 12, nos casos em que o exportador de dados tenha desaparecido de facto ou tenha deixado de existir legalmente, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações legais do exportador de dados por contrato ou por força da lei, em resultado das quais assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode impô-las a essa entidade.
- O titular dos dados pode opor ao subcontratante secundário esta cláusula, as alíneas a) a e) e g) da cláusula 5, a cláusula 6, a cláusula 7, o n.o 2 da cláusula 8 e as cláusulas 9 a 12, nos casos em que tanto o exportador de dados como o importador de dados tenham desaparecido de facto ou deixado de existir legalmente ou se tenham tornado insolventes, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações jurídicas do exportador de dados, por contrato ou por força da lei, por força das quais assume os direitos e obrigações do exportador de dados, caso em que o titular dos dados pode invocá-las contra essa entidade. Essa responsabilidade de terceiros do subcontratante secundário será limitada às suas próprias operações de processamento nos termos das cláusulas.
- As partes não se opõem a que um envolvido seja representado por uma associação ou outro órgão, se o envolvido assim o desejar expressamente e se tal for permitido pela legislação nacional.
Cláusula 4
Obrigações do exportador de dados
O exportador de dados concorda e garante:
- que o tratamento, incluindo a própria transferência, dos dados pessoais foi e continuará a ser efetuado em conformidade com as disposições pertinentes da legislação aplicável em matéria de proteção de dados (e, se for caso disso, foi notificado às autoridades competentes do Estado-Membro onde o exportador de dados está estabelecido) e não viola as disposições pertinentes desse Estado;
- Que deu instruções e que, ao longo de toda a duração dos serviços de tratamento de dados pessoais, dará instruções ao importador de dados para tratar os dados pessoais transferidos apenas em nome do exportador de dados e em conformidade com a legislação aplicável em matéria de protecção de dados e as cláusulas;
- que o importador de dados dará garantias suficientes no que diz respeito às medidas de segurança técnicas e organizativas especificadas no apêndice 2 do presente contrato;
- que, após avaliação dos requisitos da legislação aplicável em matéria de protecção de dados, as medidas de segurança são adequadas para proteger os dados pessoais contra a destruição acidental ou ilícita, a perda acidental, a alteração, a difusão ou o acesso não autorizados, nomeadamente quando o tratamento implicar a sua transmissão por rede, e contra qualquer outra forma de tratamento ilícito, e que essas medidas garantem um nível de segurança adequado aos riscos inerentes ao tratamento e à natureza dos dados a proteger, tendo em conta os conhecimentos técnicos disponíveis e os custos da sua aplicação;
- que assegurará o cumprimento das medidas de segurança;
- que, se a transferência envolver categorias especiais de dados, a pessoa em causa foi informada ou será informada antes ou logo que possível após a transferência de que os seus dados podem ser transmitidos a um país terceiro que não assegure uma protecção adequada na acepção da Directiva 95/46/CE;
- transmitir qualquer notificação recebida do importador de dados ou de qualquer subcontratante ulterior nos termos da cláusula 5, alínea b), e do n.o 3 da cláusula 8 à autoridade de controlo da protecção de dados se o exportador de dados decidir prosseguir a transferência ou levantar a suspensão;
- colocar à disposição das pessoas em causa, mediante pedido, uma cópia das cláusulas, com excepção do apêndice 2, e uma descrição sumária das medidas de segurança, bem como uma cópia de qualquer contrato de serviços de subcontratação ulterior que tenha de ser celebrado em conformidade com as cláusulas, excepto se as cláusulas ou o contrato contiverem informações comerciais, caso em que pode suprimir essas informações comerciais;
- que, em caso de subcontratação parcial, a actividade de tratamento é realizada em conformidade com a cláusula 11 por um subcontratante parcial que assegure pelo menos o mesmo nível de protecção dos dados pessoais e dos direitos do titular dos dados que o importador de dados ao abrigo das cláusulas; e
- que assegurará o cumprimento da cláusula 4, alíneas a) a i).
Cláusula 5
Obrigações do importador de dados
O importador de dados concorda e garante:
- tratar os dados pessoais apenas por conta do exportador de dados e em conformidade com as suas instruções e as cláusulas; se não puder fornecer esse cumprimento por qualquer razão, concorda em informar imediatamente o exportador de dados da sua incapacidade de cumprir, caso em que o exportador de dados tem o direito de suspender a transferência de dados e/ou rescindir o contrato;
- que não tem motivos para crer que a legislação que lhe é aplicável o impede de cumprir as instruções recebidas do exportador de dados e as suas obrigações contratuais e que, em caso de alteração dessa legislação susceptível de ter um efeito adverso substancial sobre as garantias e obrigações previstas nas cláusulas, notificará imediatamente a alteração ao exportador de dados logo que tenha conhecimento, caso em que este tem o direito de suspender a transferência de dados e/ou resolver o contrato;
- Que aplicou as medidas de segurança técnicas e organizativas especificadas no apêndice 2 antes de proceder ao tratamento dos dados pessoais transferidos;
- que notificará prontamente o exportador de dados:
- qualquer pedido juridicamente vinculativo de divulgação de dados pessoais por uma autoridade de aplicação da lei, salvo proibição em contrário, como uma proibição ao abrigo do direito penal para preservar a confidencialidade de uma investigação policial;
- qualquer acesso acidental ou não autorizado; e
- Qualquer pedido recebido diretamente dos titulares dos dados sem responder a esse pedido, salvo autorização em contrário;
- tratar rápida e adequadamente todos os pedidos de informação do exportador de dados relativos ao tratamento dos dados pessoais objecto da transferência e respeitar o parecer da autoridade de controlo no que diz respeito ao tratamento dos dados transferidos;
- a pedido do exportador de dados, submeter as suas instalações de tratamento de dados à auditoria das actividades de tratamento abrangidas pelas cláusulas, a efectuar pelo exportador de dados ou por um organismo de controlo composto por membros independentes e com as qualificações profissionais exigidas, sujeitos a um dever de confidencialidade, seleccionados pelo exportador de dados, se for caso disso, de acordo com a autoridade de controlo;
- disponibilizar à pessoa em causa, mediante pedido, uma cópia das cláusulas ou de qualquer contrato existente de subcontratação parcial, a menos que as cláusulas ou o contrato contenham informações comerciais, caso em que poderá suprimir essas informações comerciais, com excepção do apêndice 2, que será substituído por uma descrição sumária das medidas de segurança nos casos em que a pessoa em causa não consiga obter uma cópia do exportador de dados;
- que, em caso de subprocessamento, informou previamente o exportador de dados e obteve a sua autorização prévia por escrito;
- que os serviços de processamento pelo subcontratante secundário serão realizados em conformidade com a cláusula 11;
- enviar imediatamente ao exportador de dados uma cópia de qualquer acordo de subcontratação parcial que celebrar ao abrigo das cláusulas.
Cláusula 6
Responsabilidade
- As partes concordam que qualquer titular de dados que tenha sofrido danos como resultado de qualquer violação das obrigações referidas na cláusula 3 ou na cláusula 11 por qualquer parte ou subprocessador tem direito a receber uma compensação do exportador de dados pelos danos sofridos.
- Se o titular dos dados não puder apresentar um pedido de indemnização nos termos do n.o 1 contra o exportador de dados, devido ao incumprimento pelo importador de dados ou pelo seu subcontratante secundário de qualquer das suas obrigações referidas na cláusula 3 ou na cláusula 11, por o exportador de dados ter desaparecido de facto ou deixado de existir legalmente ou se ter tornado insolvente, O importador de dados aceita que o titular dos dados possa intentar uma acção contra o importador de dados como se fosse o exportador de dados, a menos que qualquer entidade sucessora tenha assumido a totalidade das obrigações jurídicas do exportador de dados por contrato ou por força da lei, caso em que o titular dos dados pode fazer valer os seus direitos contra essa entidade.
O importador de dados não pode invocar uma violação das suas obrigações por parte de um subcontratante secundário para evitar as suas próprias responsabilidades. - Se o titular dos dados não puder intentar uma acção contra o exportador ou o importador de dados referidos nos n.os 1 e 2, por incumprimento pelo subcontratante ulterior de uma das suas obrigações referidas na cláusula 3 ou na cláusula 11, porque tanto o exportador de dados como o importador de dados desapareceram de facto ou deixaram de existir legalmente ou tornaram-se insolventes, o subcontratante ulterior concorda que o titular dos dados pode emitir uma reclamação contra o subcontratante ulterior relativamente às suas próprias operações de tratamento, nos termos das cláusulas, como se fosse o exportador ou o importador de dados, a menos que uma entidade sucessora tenha assumido todas as obrigações legais do exportador ou importador de dados por contrato ou por força da lei, caso em que o titular dos dados pode fazer valer os seus direitos contra essa entidade. A responsabilidade do subcontratante secundário será limitada às suas próprias operações de processamento nos termos das cláusulas.
Cláusula 7
Mediação e jurisdição
- O importador de dados concorda que, se o titular dos dados invocar contra si direitos de terceiros beneficiários e/ou exigir uma indemnização por danos ao abrigo das cláusulas, o importador de dados aceitará a decisão do titular dos dados:
- Submeter o litígio a mediação, por uma pessoa independente ou, se for caso disso, pela autoridade de controlo;
- submeter o litígio aos tribunais do Estado-Membro em que o exportador de dados está estabelecido.
- As partes acordam em que a escolha feita pelo titular dos dados não prejudicará os seus direitos substantivos ou processuais de interpor recurso em conformidade com outras disposições do direito nacional ou internacional.
Cláusula 8
Cooperação com as autoridades de supervisão
- O exportador de dados concorda em depositar uma cópia do presente contrato junto da autoridade de controlo se esta o solicitar ou se esse depósito for exigido ao abrigo da legislação aplicável em matéria de protecção de dados.
- As partes acordam em que a autoridade de controlo tem o direito de realizar uma auditoria ao importador de dados e a qualquer subcontratante ulterior, que tenha o mesmo âmbito e esteja sujeita às mesmas condições que seriam aplicáveis a uma auditoria ao exportador de dados ao abrigo da legislação aplicável em matéria de protecção de dados.
- O importador de dados deve informar imediatamente o exportador de dados da existência de legislação que lhe seja aplicável ou de qualquer subcontratante ulterior que impeça a realização de uma auditoria ao importador de dados, ou a qualquer subcontratante ulterior, nos termos do n.o 2. Nesse caso, o exportador de dados terá o direito de tomar as medidas previstas na alínea b) da cláusula 5.
Cláusula 9
Legislação aplicável
As cláusulas são reguladas pela lei do Estado-Membro em que o exportador de dados está estabelecido.
Cláusula 10
Variação do contrato
As partes comprometem-se a não alterar ou modificar as cláusulas. Tal não impede as partes de acrescentarem cláusulas sobre questões relacionadas com os negócios, quando necessário, desde que não contradigam a cláusula.
Cláusula 11
Subprocessamento
- O importador de dados não pode subcontratar nenhuma das suas operações de tratamento efectuadas por conta do exportador de dados ao abrigo das cláusulas sem o consentimento escrito prévio do exportador de dados. Sempre que o importador de dados subcontratar as suas obrigações ao abrigo das cláusulas, com o consentimento do exportador de dados, fá-lo-á apenas através de um acordo escrito com o subcontratante secundário que imponha a este último as mesmas obrigações que as impostas ao importador de dados ao abrigo das cláusulas. Se o subcontratante secundário não cumprir as suas obrigações em matéria de protecção de dados ao abrigo desse acordo escrito, o importador de dados continua a ser plenamente responsável perante o exportador de dados pelo cumprimento das obrigações do subcontratante secundário ao abrigo desse acordo.
- O contrato escrito prévio entre o importador de dados e o subcontratante ulterior deve prever igualmente uma cláusula de terceiro beneficiário, tal como estabelecido na cláusula 3, para os casos em que o titular dos dados não possa apresentar o pedido de indemnização referido no n.o 1 da cláusula 6 contra o exportador ou o importador de dados por estes terem desaparecido de facto ou terem deixado de existir legalmente ou se terem tornado insolventes e nenhuma entidade sucessora tenha assumido a totalidade das obrigações legais do exportador ou do importador de dados por contrato ou por força da lei. Essa responsabilidade de terceiros do subcontratante secundário será limitada às suas próprias operações de processamento nos termos das cláusulas.
- As disposições relativas aos aspectos da protecção de dados no âmbito do subprocessamento do contrato referido no n.o 1 são reguladas pelo direito do Estado-Membro em que o exportador de dados está estabelecido.
- O exportador de dados conservará uma lista dos acordos de subcontratação parcial celebrados ao abrigo das cláusulas e notificados pelo importador de dados nos termos da cláusula 5, alínea j), que será actualizada pelo menos uma vez por ano. A lista deve ser colocada à disposição da autoridade de controlo da protecção de dados do exportador de dados.
Cláusula 12
Obrigação após a cessação dos serviços de tratamento de dados pessoais
- As partes acordam em que, no termo da prestação de serviços de tratamento de dados, o importador de dados e o subcontratante ulterior devolverão ao exportador de dados, à escolha deste, todos os dados pessoais transferidos e as respectivas cópias ou destruirão todos os dados pessoais e certificarão ao exportador de dados que o fez, salvo se a legislação imposta ao importador de dados o impedir de devolver ou destruir a totalidade ou parte dos dados pessoais transferidos. Nesse caso, o importador de dados garante que garantirá a confidencialidade dos dados pessoais transferidos e não processará mais ativamente os dados pessoais transferidos.
- O importador de dados e o subcontratante ulterior garantem que, a pedido do exportador de dados e/ou da autoridade de controlo, submeterão as suas instalações de tratamento de dados a uma auditoria das medidas referidas no n.o 1.
APÊNDICE 1 ÀS CLÁUSULAS CONTRATUAIS-TIPO
O presente apêndice faz parte integrante das cláusulas. Os Estados-Membros podem completar ou especificar, de acordo com os seus procedimentos nacionais, quaisquer informações adicionais necessárias a incluir no presente apêndice.
Exportador de dados
O exportador de dados é o Cliente, conforme definido nos Acordos de Cliente Skyfii.
Importador de dados
O importador de dados é a Skyfii Group Pty Ltd, um provedor global de análise de localização de visitantes sem fio, acesso de visitantes WiFi e software de marketing do cliente.
Sujeitos de dados
Categorias de titulares de dados enumeradas na secção 2 do acordo de tratamento de dados a que estão anexadas as cláusulas.
Categorias de dados
Categorias de dados pessoais estabelecidas na secção 2 do acordo de tratamento de dados a que estão anexadas as cláusulas.
Categorias especiais de dados (se for caso disso)
As partes não prevêem a transferência de categorias especiais de dados.
Operações de processamento
As actividades de tratamento de dados previstas na secção 2 do acordo de tratamento de dados a que se encontram apensas as cláusulas.
APÊNDICE 2 ÀS CLÁUSULAS CONTRATUAIS-TIPO
O presente apêndice faz parte integrante das cláusulas.
Descrição das medidas de segurança técnicas e organizativas aplicadas pelo importador de dados em conformidade com as cláusulas 4, alínea d), e 5, alínea c) (ou documento/legislação em anexo):
A Skyfii observa actualmente as práticas de segurança descritas no presente apêndice 2 das cláusulas. Não obstante qualquer disposição em contrário acordada pelo exportador de dados, a Skyfii pode modificar ou atualizar essas práticas a seu critério, desde que tal modificação e atualização não resulte em uma degradação material na proteção oferecida por essas práticas.
