1. Introdução
1.1 Este Acordo de Processamento de Dados ("DPA") regula o processamento de dados pessoais pela Scholé Sàrl, EPFL IC IINFCOM ML4ED — INF 231 (Bâtiment INF) — Station 14, 1015 Lausanne, Suíça ("Provedor") em nome de qualquer organização ou indivíduo que utiliza a plataforma Scholé e serviços relacionados ("Cliente"). Este DPA faz parte do contrato entre o Cliente e o Provedor e reflete o compromisso das partes em relação ao processamento e segurança dos Dados Pessoais do Cliente.
1.2 Os termos "titular dos dados", "processamento", "controlador" (respectivamente "controlador do arquivo de dados") e "processador" usados neste DPA terão os significados especificados na Legislação Suíça de Proteção de Dados ou no RGPD, dependendo do seu respectivo âmbito de aplicação. Os termos em maiúsculas estão definidos na Seção 12.
2. Legislações de Proteção de Dados
2.1 As seguintes legislações de proteção de dados podem, dependendo das circunstâncias, ser aplicáveis ao processamento de Dados Pessoais do Cliente:
- A Legislação Suíça de Proteção de Dados
- O Regulamento Geral de Proteção de Dados da UE (RGPD)
- Outras Legislações de Proteção de Dados Aplicáveis
2.2 Salvo disposição em contrário, as disposições deste DPA se aplicarão independentemente de qual legislação se aplica ao processamento de Dados Pessoais do Cliente.
3. Processamento de Dados
3.1 Funções e Conformidade
3.1.1 Se a Legislação Suíça de Proteção de Dados ou o RGPD se aplicarem: (a) o Cliente é um controlador, ou um processador para um terceiro, de Dados Pessoais do Cliente; (b) o Provedor é um processador de Dados Pessoais do Cliente, exceto quando processa dados para cumprir obrigações legais aplicáveis a ele ou para suas operações internas de negócios incidentais à prestação de serviços (nesse caso, atua como um controlador independente); e (c) cada parte deverá cumprir suas obrigações sob a legislação aplicável.
3.1.2 Se o Cliente for um processador para um terceiro, o Cliente garante que obteve a autorização prévia expressa do controlador aplicável em relação às instruções do Cliente e à designação do Provedor como outro processador.
3.2 Escopo do Processamento
3.2.1 O Provedor deverá processar os Dados Pessoais do Cliente de acordo com este DPA. Ao atuar como processador, o Provedor compromete-se a processar os Dados Pessoais do Cliente apenas com base em instruções documentadas do Cliente, salvo se a legislação aplicável ao Provedor exigir outro processamento, caso em que o Provedor deverá informar o Cliente sobre esse requisito legal antes do processamento.
3.2.2 Ao aceitar este DPA, o Cliente instrui o Provedor a processar os Dados Pessoais do Cliente apenas para fornecer e melhorar os Serviços, conforme documentado neste DPA e no Acordo aplicável. Quaisquer instruções adicionais ou alternativas devem ser acordadas por escrito.
3.3 Obrigações do Cliente
O Cliente será responsável pela qualidade, legalidade e relevância dos Dados do Cliente processados no contexto dos Serviços e será responsável perante terceiros afetados pelo processamento. Em particular, o Cliente deverá:
- Fornecer informações suficientes aos titulares dos dados sobre a coleta e o processamento de seus dados pessoais
- Obter o consentimento válido dos titulares dos dados, quando exigido pela Legislação Aplicável de Proteção de Dados
- Garantir o cumprimento de todos os direitos dos titulares dos dados (por exemplo, direito de acesso e retificação, direito de oposição) e obrigações perante as autoridades competentes de proteção de dados
- Delegar ao Provedor apenas operações de processamento que o Cliente estaria autorizado a realizar por conta própria
3.4 Responsabilidade
O Cliente será o único responsável pelo processamento dos Dados Pessoais do Cliente no âmbito dos Serviços. O Cliente reconhece e aceita que o Provedor considerará qualquer processamento de Dados Pessoais do Cliente no âmbito dos Serviços, conforme permitido pelo Acordo, como estando em conformidade com todas as leis aplicáveis.
4. Exclusão de Dados
Após o término da relação, o Cliente poderá solicitar que o Provedor transfira todos os Dados Pessoais do Cliente (incluindo quaisquer cópias existentes) para o Cliente ou para um terceiro designado pelo Cliente. O Provedor deverá cumprir o mais rápido possível, salvo se precisar reter todos ou parte dos Dados Pessoais do Cliente por razões técnicas ou legais, caso em que o Provedor deverá armazenar e processar tais dados apenas por esses motivos e deverá ser capaz de demonstrar que tomou medidas técnicas e organizacionais apropriadas.
5. Segurança de Dados
5.1 Medidas de Segurança
5.1.1 O Provedor implementa e mantém medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais do Cliente contra Incidentes de Segurança. Os dados do Cliente são:
- Armazenados na Suíça em infraestrutura Microsoft Azure
- Criptografados em repouso e em trânsito
- Separados logicamente dos dados de outros clientes
- Protegidos seguindo as melhores práticas de segurança da indústria
5.1.2 O Provedor toma medidas apropriadas para garantir o cumprimento das medidas de segurança por seus funcionários e subcontratados, em particular garantindo que todas as pessoas autorizadas a lidar com os Dados Pessoais do Cliente estejam contratualmente obrigadas a manter a confidencialidade ou estejam sujeitas a uma obrigação legal apropriada de confidencialidade.
5.2 Incidentes de Segurança
5.2.1 Se o Provedor tomar conhecimento de um Incidente de Segurança, deverá informar o Cliente o mais rápido possível por qualquer meio útil, descrevendo a natureza do incidente, as medidas tomadas para mitigar os riscos potenciais e as medidas recomendadas para o Cliente.
5.2.2 O Provedor não revisará o conteúdo dos Dados do Cliente para identificar o tipo de dados envolvidos. O Cliente será o único responsável por cumprir as obrigações de notificação aplicáveis às autoridades competentes e/ou aos titulares dos dados. O Provedor deverá fornecer assistência razoável ao Cliente nesse sentido.
5.3 Auditorias
5.3.1 Quando o GDPR se aplica, o Provedor deverá disponibilizar ao Cliente todos os documentos e informações razoavelmente necessários para demonstrar conformidade com suas obrigações sob este DPA.
5.3.2 Quando o GDPR se aplica, o Provedor deverá permitir que o Cliente ou um auditor independente designado pelo Cliente realize auditorias (incluindo inspeções) para verificar a conformidade. Salvo circunstâncias excepcionais, o Cliente não poderá fazer mais de um pedido por ano. Os pedidos de auditoria devem ser comunicados por escrito, especificando os dados envolvidos, os motivos, as obrigações específicas a serem auditadas e um compromisso de que as informações coletadas serão usadas apenas para garantir a conformidade.
6. Assistência do Provedor
6.1 O Provedor deverá, se solicitado pelo Cliente, fornecer assistência razoável para que o Cliente cumpra suas obrigações sob a Legislação Suíça de Proteção de Dados ou o GDPR.
6.2 Se o Provedor receber uma solicitação de um titular de dados referente aos Dados Pessoais do Cliente, o Provedor deverá orientar o titular de dados a enviar a solicitação ao Cliente. É de exclusiva responsabilidade do Cliente responder a tais solicitações.
6.3 O Provedor deverá auxiliar o Cliente no cumprimento de suas obrigações com os titulares de dados, na medida do razoável e compatível com a funcionalidade dos Serviços, abrangendo todos os direitos previstos na Legislação Aplicável de Proteção de Dados (acesso, retificação, limitação, oposição, exclusão e portabilidade).
6.4 Quando o GDPR for aplicável, o Provedor compromete-se a auxiliar o Cliente a garantir o cumprimento das obrigações de avaliação de impacto sobre proteção de dados e consulta prévia, conforme os Artigos 35 e 36 do GDPR ou a Legislação Suíça de Proteção de Dados, na medida em que isso possa ser razoavelmente esperado.
7. Transferências Internacionais de Dados
7.1 Salvo disposição em contrário, o Provedor deverá reter e processar os Dados Pessoais do Cliente na Suíça e na União Europeia, ou em um país reconhecido pela Comissão Europeia e pela Suíça como garantindo um nível adequado de proteção de dados pessoais.
7.2 O Provedor deverá informar o Cliente antes de qualquer transferência para um país não especificado acima, e o Cliente compromete-se a autorizar tal transferência, desde que o Provedor possa garantir um nível adequado de proteção por quaisquer meios úteis.
7.3 Quando o Provedor contratar um sub-processador em um país terceiro não reconhecido como garantindo proteção adequada, o Provedor poderá utilizar as Cláusulas Contratuais Padrão da Comissão Europeia ou outro mecanismo legal para cumprir o GDPR ou a Legislação Suíça de Proteção de Dados.
8. Subprocessamento
8.1 O Cliente autoriza o Provedor a utilizar sub-processadores, que podem ser entidades afiliadas ou terceiros. O Provedor deverá informar o Cliente com antecedência e por escrito sobre quaisquer mudanças planejadas em relação à adição ou substituição de sub-processadores, para permitir que o Cliente apresente objeções.
8.2 O Provedor garante que: (a) os sub-processadores apenas acessam e processam os Dados Pessoais do Cliente na medida necessária para cumprir suas obrigações; (b) os sub-processadores possuem obrigações contratuais pelo menos equivalentes às deste DPA; e (c) quando o GDPR for aplicável, as obrigações estabelecidas no Artigo 28(3) do GDPR foram impostas ao sub-processador.
8.3 O Cliente terá 30 dias após ser informado sobre uma adição ou substituição planejada para apresentar objeções. Se o Provedor confirmar a nomeação, o Cliente poderá rescindir o Contrato aplicável com efeito imediato mediante notificação por escrito dentro de 14 dias. A falta de reação dentro desses prazos será considerada como aceitação.
A lista atual de subcontratantes, com o país, a região de tratamento, a finalidade e a base de transferência de cada um, está publicada em app.schole.ai/sub-processors.
9. Registro de Atividades de Processamento
O Cliente reconhece que o Provedor pode ser obrigado a coletar e armazenar certas informações (incluindo o nome e os dados de contato de cada processador e/ou controlador, e as categorias de processamento realizadas) e disponibilizar essas informações a qualquer autoridade competente. O Cliente compromete-se a fornecer ao Provedor todas as informações razoavelmente necessárias para cumprir essas obrigações.
10. Contato para Questões de Proteção de Dados
Se o GDPR exigir que o Cliente nomeie um encarregado de proteção de dados, o Cliente deve fornecer os dados de contato dessa pessoa ao Provedor.
Todas as comunicações ao Provedor relacionadas a este DPA e/ou proteção de dados devem ser endereçadas a: Equipe de Proteção de Dados, privacy@schole.ai
11. Disposições Gerais
11.1 Os termos de qualquer Contrato aplicável deverão ser aplicados a todos os aspectos não cobertos por este DPA.
11.2 Em caso de conflito entre este DPA e os termos de qualquer Contrato aplicável, os termos deste DPA terão precedência, sujeitos a derrogações expressas especificadas no Contrato.
11.3 Este DPA é válido enquanto o Cliente utilizar os Serviços. Ele permanecerá em vigor até o vencimento ou rescisão do Contrato aplicável, incluindo qualquer período durante o qual o Provedor continue armazenando os Dados Pessoais do Cliente. Qualquer parte poderá rescindir este DPA com aviso prévio de 6 meses por escrito.
11.4 Se qualquer disposição deste DPA for considerada inválida ou inexequível, as partes deverão substituí-la por uma disposição substituta que alcance os mesmos propósitos legais e econômicos. O restante deste DPA permanecerá em pleno vigor e efeito.
11.5 Este DPA será regido pela legislação suíça (sem referência às suas disposições sobre conflito de leis). Qualquer disputa será submetida à jurisdição exclusiva dos tribunais na sede registrada do Provedor, sujeito ao direito de apelar ao Tribunal Federal Suíço.
12. Definições
- "Contrato" significa qualquer acordo entre o Cliente e o Provedor referente à execução dos Serviços, incluindo os Termos de Serviço.
- "Legislação Aplicável de Proteção de Dados" significa a Legislação Suíça de Proteção de Dados, o GDPR e qualquer outra Legislação Aplicável de Proteção de Dados.
- "Dados do Cliente" significa dados transmitidos pelo Cliente ao Provedor, coletados pelo Provedor em nome do Cliente ou gerados pelo Provedor em conexão com os Serviços.
- "Dados Pessoais do Cliente" significa qualquer informação relacionada a uma pessoa natural identificada ou identificável contida nos Dados do Cliente, de acordo com a Legislação Aplicável de Proteção de Dados.
- "GDPR" significa Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 sobre a proteção de indivíduos no que diz respeito ao processamento de dados pessoais e à livre circulação desses dados.
- "Incidente de Segurança" significa uma violação de segurança que resulta na destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilegal aos Dados Pessoais do Cliente.
- "Serviços" significa todos os serviços fornecidos pelo Provedor ao Cliente, incluindo a plataforma Scholé e serviços relacionados.
- "Legislação Suíça de Proteção de Dados" significa a Lei Federal Suíça de Proteção de Dados e seus regulamentos de implementação, conforme possam ser alterados de tempos em tempos.