Acordo de Tratamento de Dados (DPA)

1. Definições

• “Dados Pessoais do Cliente” significa os dados pessoais que a Nebs-Creative trata em nome do Cliente nos termos do Contrato.
• “Leis de Proteção de Dados” significa o UK GDPR, o Data Protection Act 2018 e, quando aplicáveis ao tratamento, o GDPR da UE, as leis estaduais de privacidade dos EUA aplicáveis e outras leis de privacidade/proteção de dados aplicáveis, conforme alteradas ou substituídas.
• “SCCs da UE” significa as cláusulas contratuais padrão da Comissão Europeia aprovadas pela Decisão de Execução (UE) 2021/914.
• “Transferência Restrita” significa uma transferência que as Leis de Proteção de Dados aplicáveis proibiriam sem uma salvaguarda adequada.
• “Subprocessador” significa um terceiro ou afiliada contratado pela Nebs-Creative para tratar Dados Pessoais do Cliente.
• “Mecanismo de Transferência” significa o Acordo Internacional de Transferência de Dados do Reino Unido (UK International Data Transfer Agreement), o Adendo do Reino Unido às Cláusulas Contratuais Padrão da UE (UK Addendum to the EU SCCs), as Cláusulas Contratuais Padrão da UE (EU SCCs) ou outro mecanismo reconhecido pelas Leis de Proteção de Dados aplicáveis.
• “Dia Útil” significa de domingo a quinta-feira, excluindo feriados nacionais de Bangladesh e qualquer fechamento do estúdio previamente notificado.

Controlador, operador, titular dos dados, dados pessoais, violação de dados pessoais, tratamento e autoridade de controle têm os significados atribuídos pelo UK GDPR ou os termos jurídicos equivalentes aplicáveis.

2. Papéis e escopo

O Cliente é o controlador e a Nebs-Creative é a operadora dos Dados Pessoais do Cliente. Se o Cliente for, ele próprio, operador de outro controlador, a Nebs-Creative atua como subprocessadora e o Cliente confirma que está autorizado a dar as instruções constantes deste DPA. O Anexo 1 descreve o tratamento. Cada parte permanece como controladora independente quanto aos dados comuns de contato profissional que trata para a administração do relacionamento.

3. Responsabilidades do Cliente

• Garantir que exista uma base legal e que os avisos e consentimentos necessários tenham sido fornecidos para o tratamento.
• Fornecer apenas os dados pessoais razoavelmente necessários para os serviços e utilizar dados de amostra, anonimizados ou pseudonimizados sempre que possível.
• Informar a Nebs-Creative por escrito antes de fornecer dados de categorias especiais, dados relativos a infrações penais ou dados de crianças.
• Garantir que as instruções dadas à Nebs-Creative cumpram as Leis de Proteção de Dados aplicáveis.

4. Obrigações da Nebs-Creative

• Tratar os Dados Pessoais do Cliente somente mediante instruções documentadas do Cliente, incluindo instruções relativas a transferências internacionais, salvo se a lei exigir de outro modo.
• Informar o Cliente caso uma instrução pareça violar as Leis de Proteção de Dados aplicáveis, na medida em que seja legalmente permitido.
• Garantir que o pessoal autorizado esteja sujeito a obrigações de confidencialidade.
• Manter medidas técnicas e organizacionais adequadas, incluindo as medidas descritas no Anexo 2, uma vez verificadas.
• Prestar assistência razoável quanto aos direitos dos titulares dos dados, às obrigações de segurança, às violações, às avaliações de impacto sobre a proteção de dados (DPIAs) e à consulta à autoridade reguladora, levando em conta a natureza do tratamento e as informações disponíveis.
• Disponibilizar informações razoáveis sobre conformidade e permitir auditorias nos termos da cláusula 9.
• Não vender os Dados Pessoais do Cliente nem utilizá-los para finalidades próprias da Nebs-Creative, incluindo o treinamento de modelos de IA da Nebs-Creative.

5. Subprocessadores

O Cliente concede autorização geral para a utilização de Subprocessadores. Os Subprocessadores atuais devem constar do Anexo 3. A Nebs-Creative fornecerá aviso prévio de, no mínimo, 14 dias sobre qualquer inclusão ou substituição pretendida. O Cliente poderá se opor por motivos razoáveis de proteção de dados. Se a objeção não puder ser razoavelmente resolvida, o Cliente poderá rescindir os serviços afetados e receber o reembolso dos valores pagos antecipadamente por serviços não prestados. A Nebs-Creative imporá a cada Subprocessador obrigações de proteção de dados substancialmente equivalentes e permanece responsável perante o Cliente pelo cumprimento dessas obrigações pelo Subprocessador, conforme previsto na lei aplicável e no Contrato.

6. Transferências internacionais

O Cliente reconhece que a equipe da Nebs-Creative trabalha a partir de Bangladesh e que os Subprocessadores aprovados podem tratar Dados Pessoais do Cliente nos locais indicados no Anexo 3. Cada Transferência Restrita deve ser amparada por um Mecanismo de Transferência válido ou outra base legal e, quando exigido, por uma avaliação de risco de transferência adequada ou avaliação equivalente.

Para Transferências Restritas do Reino Unido realizadas pela Nebs-Creative a um destinatário, como a entidade do estúdio em Bangladesh ou um Subprocessador, a Nebs-Creative utilizará o Acordo Internacional de Transferência de Dados do Reino Unido (UK International Data Transfer Agreement) aplicável, o Adendo do Reino Unido com o módulo relevante das Cláusulas Contratuais Padrão da UE, ou outro mecanismo válido. Para transferências do EEE em que as Cláusulas Contratuais Padrão da UE sejam exigidas, aplicar-se-á, conforme apropriado, o módulo aplicável de controlador para operador ou de operador para operador. Se os termos obrigatórios de transferência conflitarem com este DPA, prevalecerão os termos obrigatórios de transferência.

7. Violações de dados pessoais

A Nebs-Creative notificará o Cliente sem demora injustificada e, nos termos do DPA padrão vigente, em qualquer caso no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A notificação fornecerá as informações disponíveis sobre a natureza, o alcance, as prováveis consequências e as medidas de mitigação, sendo as demais informações fornecidas à medida que se tornarem disponíveis. A Nebs-Creative adotará medidas razoáveis para conter e remediar o incidente e cooperará com o Cliente. Salvo disposição legal em contrário, a Nebs-Creative não notificará nenhum órgão regulador ou titular de dados em nome do Cliente sem instrução do Cliente.

8. Solicitações de titulares de dados

Se a Nebs-Creative receber uma solicitação relativa aos Dados Pessoais do Cliente, encaminhará a solicitação ao Cliente em até 5 Dias Úteis e não responderá quanto ao mérito, exceto se autorizada pelo Cliente ou exigido por lei.

9. Auditorias e informações de conformidade

A Nebs-Creative responderá a questionários de conformidade razoáveis, normalmente uma vez por ano, com informações adicionais após uma violação relevante ou solicitação de órgão regulador, quando apropriado. Se as informações escritas razoáveis forem insuficientes para demonstrar a conformidade, o Cliente ou um auditor independente, não concorrente e vinculado por dever de confidencialidade poderá realizar uma auditoria, observadas as restrições de aviso prévio, frequência, horário de expediente e não interrupção das atividades previstas no DPA aplicável. Cada parte arcará com seus próprios custos de auditoria, salvo disposição em contrário do Contrato ou da legislação aplicável.

10. Devolução e exclusão

Quando os serviços em questão terminarem, ou antes disso mediante instrução por escrito, a Nebs-Creative, à escolha do Cliente, devolverá ou excluirá os Dados Pessoais do Cliente em até 30 dias e excluirá as cópias existentes, salvo se a legislação aplicável exigir a retenção. Os dados que permanecerem em backups de rotina continuam protegidos por este DPA até serem sobrescritos no ciclo normal de backup. Mediante solicitação, será fornecida confirmação por escrito da exclusão.

11. Termos de privacidade de estados dos EUA

Na medida em que uma lei de privacidade estadual dos EUA aplicável trate a Nebs-Creative como prestadora de serviços, contratada ou operadora dos Dados Pessoais do Cliente, a Nebs-Creative não venderá nem compartilhará esses dados, conforme definido na lei aplicável, não os reterá, usará ou divulgará fora da relação de serviços permitida, nem os combinará com outros dados pessoais, exceto se a lei permitir. A Nebs-Creative fornecerá o nível de proteção de privacidade exigido para a sua função e informará o Cliente caso deixe de poder cumprir essas obrigações. O Cliente poderá adotar as medidas razoáveis exigidas pela legislação aplicável para interromper e remediar o uso não autorizado.

12. Responsabilidade, precedência e legislação aplicável

A responsabilidade nos termos deste DPA está sujeita às cláusulas de responsabilidade do Contrato, na medida em que as Leis de Proteção de Dados o permitirem. O DPA permanece em vigor enquanto a Nebs-Creative tratar Dados Pessoais do Cliente e prevalece sobre termos conflitantes do contrato em matéria de dados pessoais. O DPA padrão é regido pelas leis da Inglaterra e do País de Gales, exceto quando cláusulas obrigatórias de transferência exigirem outra lei aplicável ou outro foro.

Anexo 1 - Detalhes do tratamento

Anexo 2 - Medidas técnicas e organizacionais

• Autenticação multifator (MFA) nas contas usadas para acessar os Dados Pessoais do Cliente, quando o serviço a suportar.
• Controles de acesso por projeto; remoção de acessos ao término do projeto; revisões periódicas de acesso.
• Contas de usuário individuais; segredos compartilhados mantidos em um gerenciador de senhas criptografado e aprovado.
• Criptografia de disco completo, bloqueio de tela, sistemas operacionais com suporte, atualizações de segurança automáticas e proteção contra malware nos dispositivos usados em trabalhos para clientes, conforme exigido pela política interna.
• Dados Pessoais do Cliente armazenados somente em ferramentas aprovadas; sem mídias removíveis ou armazenamento em contas pessoais, salvo aprovação específica.
• Minimização de dados e uso de dados de amostra/anonimizados/pseudonimizados sempre que possível.
• Compartilhamento de links/arquivos com acesso restrito e criptografia em trânsito; criptografia em repouso pelo provedor de armazenamento, quando aplicável.
• Nenhum Dado Pessoal do Cliente em ferramentas de IA, exceto em ferramenta aprovada, com as salvaguardas/configurações exigidas e com a concordância do cliente.
• Acordos de confidencialidade/propriedade intelectual com a equipe e treinamento em segurança/proteção de dados.
• Comunicação interna imediata de incidentes e registro de incidentes.
• Recursos de backup/recuperação do provedor para serviços de nuvem aprovados.
• Devolução/exclusão dos Dados Pessoais do Cliente conforme as regras de retenção do DPA.

Anexo 3 - Suboperadores

Bloco de assinaturas (opcional quando for solicitado um DPA assinado)