Acordo de Tratamento de Dados (DPA)

1. Objeto, âmbito e articulação contratual

Objeto do Acordo. O presente Acordo tem por objeto definir as condições em que o Operador se compromete a realizar, por conta do Controlador, as operações de tratamento de dados pessoais descritas no Anexo 1, no âmbito da prestação do Serviço nullbot. Ele especifica as obrigações e os direitos respectivos das Partes no que diz respeito ao artigo 28 do RGPD e, mais amplamente, às disposições aplicáveis em matéria de proteção de dados pessoais.

Marco jurídico. O presente Acordo se insere no âmbito do RGPD, em particular de seus artigos 28 (subcontratação), 32 (segurança do tratamento), 33 e 34 (violações de dados), 35 (avaliação de impacto), 36 (consulta prévia) e 44 e seguintes (transferências de dados para países terceiros), bem como da lei nº 78-17, de 6 de janeiro de 1978, modificada, relativa à informática, aos arquivos e às liberdades.

Articulação contratual e hierarquia dos documentos. O presente Acordo constitui um anexo do contrato de serviços celebrado entre as Partes e dele faz parte integrante. Ele prevalece sobre qualquer estipulação contrária dos demais documentos contratuais no que se refere exclusivamente ao tratamento de dados pessoais. Em caso de contradição entre o presente Acordo e os Termos e Condições de Venda, os Termos e Condições de Uso ou a Política de Privacidade, as estipulações do presente Acordo prevalecem apenas quanto às questões relativas à proteção de dados pessoais.

Aceitação. A contratação do Serviço e sua utilização implicam a aceitação plena e integral do presente Acordo pelo Cliente, agindo na qualidade de Controlador.

2. Definições

Os termos a seguir, quando empregados com letra maiúscula neste Acordo, têm o seguinte significado. As noções de “dados pessoais”, “tratamento”, “controlador”, “operador”, “titular dos dados” e “violação de dados pessoais” são entendidas no sentido do artigo 4 do RGPD.

• “Serviço” designa o software nullbot fornecido no modo SaaS pelo Operador, incluindo seus agentes de inteligência artificial, suas interfaces, suas funcionalidades e seus componentes associados.
• “Agente” designa qualquer agente de inteligência artificial implementado dentro do Serviço para executar tarefas e ações por conta do Cliente, conforme as configurações e instruções por ele definidas.
• “Conteúdo do Cliente” designa o conjunto de dados, arquivos, instruções, solicitações, documentos e informações, incluindo os dados pessoais, que o Cliente envia aos Agentes ou integra ao Serviço.
• “Dados pessoais” designa toda informação relativa a uma pessoa física identificada ou identificável, tratada pelo Operador em nome do Responsável no âmbito do presente Acordo.
• “Tratamento” designa qualquer operação ou conjunto de operações realizadas sobre dados pessoais, tais como a coleta, o registro, a organização, a estruturação, a conservação, a adaptação, a modificação, a extração, a consulta, o uso, a comunicação, o cotejamento, a limitação, a eliminação ou a destruição.
• «Responsável» ou «Responsável pelo tratamento» designa o Cliente, que determina as finalidades e os meios do tratamento.
• “Operador” designa a MARA LABS, que trata os dados pessoais em nome do Controlador.
• “Subcontratado subsequente” designa qualquer terceiro ao qual o Subcontratado recorre para realizar, total ou parcialmente, atividades de tratamento específicas por conta do Controlador.
• “Titular dos dados” designa a pessoa física identificada ou identificável a quem se referem os dados pessoais tratados.
• “Violação de dados pessoais” ou “Violação” designa uma violação de segurança que resulte, de forma acidental ou ilícita, na destruição, perda, alteração, divulgação não autorizada de dados pessoais transmitidos, conservados ou tratados de outra forma, ou no acesso não autorizado a tais dados.
• «CCT» designa as Cláusulas Contratuais-Tipo adotadas pela Comissão Europeia por meio de sua decisão de execução (UE) 2021/914, de 4 de junho de 2021, que regulam as transferências de dados pessoais para países terceiros.
• “RGPD” designa o Regulamento (UE) 2016/679, de 27 de abril de 2016.

3. Qualidade e papéis das partes

Qualidade do Cliente. O Cliente atua na qualidade de responsável pelo tratamento nos termos do artigo 4º, ponto 7, do RGPD. Ele determina, com exclusividade, as finalidades e os meios dos tratamentos realizados no âmbito da utilização do Serviço. Cabe-lhe, nessa qualidade, garantir a licitude dos tratamentos que confia ao Subcontratante, nomeadamente dispor de uma base jurídica adequada nos termos do artigo 6º do RGPD e, quando aplicável, das garantias previstas no artigo 9º, bem como ter cumprido suas obrigações de informação perante os titulares dos dados.

Qualidade do Operador. A MARA LABS atua na qualidade de operador nos termos do artigo 4º, item 8, do RGPD. O Operador trata os dados de caráter pessoal exclusivamente por conta do Controlador e com base em suas instruções documentadas, em conformidade com o presente Acordo.

Garantias do Subcontratante. O Subcontratante declara apresentar garantias suficientes quanto à implementação de medidas técnicas e organizacionais apropriadas, de modo que o tratamento atenda às exigências do RGPD e garanta a proteção dos direitos dos titulares dos dados, em conformidade com o artigo 28, parágrafo 1, do RGPD.

Responsabilidades próprias do Cliente. O Cliente permanece o único responsável:

• da licitude, da lealdade e da transparência dos tratamentos que realiza por meio do Serviço ;
• da exatidão, da qualidade e da relevância do Conteúdo do Cliente submetido aos Agentes ;
• do cumprimento de suas obrigações de informação e, quando aplicável, da coleta do consentimento dos titulares dos dados;
• da definição do prazo de conservação adequado dos dados e da minimização dos dados submetidos ao Serviço;
• da configuração e da supervisão dos Agentes, bem como das ações por eles executadas em seu nome.

4. Descrição e escopo do tratamento

Âmbito. O Operador está autorizado a tratar, por conta do Controlador, os dados pessoais necessários à prestação do Serviço, nos limites e segundo as modalidades descritas no Anexo 1 do presente Acordo, o qual especifica a natureza e a finalidade do tratamento, sua duração, o tipo de dados pessoais em questão e as categorias de titulares dos dados, em conformidade com o artigo 28, parágrafo 3, do RGPD.

Determinação pelo Responsável. O escopo exato do tratamento resulta das configurações, parametrizações e usos que o Cliente implementa no âmbito do Serviço, bem como do Conteúdo do Cliente que este submete aos Agentes. O Responsável reconhece que lhe cabe definir e limitar esse escopo, uma vez que o Subcontratante não tem controle sobre o conteúdo dos dados que o Cliente escolhe submeter.

Evolução. O Anexo 1 pode ser complementado ou atualizado para levar em conta a evolução do Serviço ou dos usos do Cliente, sem que essa atualização possa estender o tratamento além do que é necessário para o fornecimento do Serviço acordado entre as Partes.

5. Instruções documentadas do Controlador

Tratamento mediante instruções documentadas. Em conformidade com o artigo 28, parágrafo 3, alínea a), do RGPD, o Operador só trata os dados pessoais mediante instruções documentadas do Controlador, inclusive no que diz respeito às transferências de dados pessoais para um país terceiro ou a uma organização internacional, salvo se estiver obrigado a fazê-lo em virtude do direito da União ou do direito do Estado-Membro ao qual está sujeito. Nesse caso, o Operador informa o Controlador dessa obrigação jurídica antes do tratamento, exceto se o direito em questão proibir tal informação por motivos importantes de interesse público.

Forma das instruções. Constituem instruções documentadas do Controlador: o presente Acordo e seus anexos, o contrato de serviços, as configurações realizadas pelo Cliente no âmbito do Serviço, o Conteúdo do Cliente submetido aos Agentes, bem como qualquer instrução complementar formalizada por escrito (inclusive por correio eletrônico ou por meio da interface do Serviço) e endereçada ao Operador.

Instruções manifestamente ilícitas. O Subcontratante informa imediatamente o Controlador caso, em sua opinião, uma instrução constitua uma violação do RGPD ou de outras disposições do direito da União ou do direito dos Estados-Membros relativas à proteção de dados. Nesse caso, o Subcontratante tem o direito de suspender a execução da instrução em questão até sua confirmação ou modificação pelo Controlador.

Ausência de utilização para fins próprios. O Operador se abstém de tratar os dados pessoais para fins distintos daqueles necessários à execução do presente Acordo e à prestação do Serviço, e, em especial, de os explorar em seu próprio benefício ou em benefício de terceiros.

6. Confidencialidade das pessoas autorizadas a tratar

Compromisso de confidencialidade. Em conformidade com o artigo 28, parágrafo 3, alínea b), do RGPD, o Subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais se comprometam a respeitar a confidencialidade ou estejam sujeitas a uma obrigação legal adequada de confidencialidade.

Habilitação e limitação dos acessos. O Subcontratante assegura que o acesso aos dados pessoais seja estritamente limitado aos membros de seu pessoal e às pessoas autorizadas que necessitem acessá-los para a execução de suas atribuições, segundo o princípio da necessidade de conhecer e do menor privilégio.

Conscientização e treinamento. O Operador zela para que as pessoas autorizadas a tratar os dados pessoais recebam o treinamento e a conscientização necessários em matéria de proteção de dados pessoais e de segurança da informação.

Permanência do compromisso. A obrigação de confidencialidade subsiste após o término das funções das pessoas envolvidas e após o encerramento do presente Acordo.

7. Medidas de segurança (artigo 32)

Obrigação de segurança. Em conformidade com o artigo 28, parágrafo 3, alínea c), e com o artigo 32 do RGPD, o Subcontratado implementa as medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, levando em conta o estado da técnica, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas físicas.

Critérios de avaliação. As medidas implementadas levam em conta, conforme necessário:

• da pseudonimização e da criptografia dos dados pessoais;
• meios que permitam garantir a confidencialidade, a integridade, a disponibilidade e a resiliência constantes dos sistemas e dos serviços de tratamento;
• meios que permitam restabelecer a disponibilidade dos dados pessoais e o acesso a eles em prazos adequados em caso de incidente físico ou técnico;
• de um procedimento destinado a testar, analisar e avaliar regularmente a eficácia das medidas técnicas e organizacionais para garantir a segurança do tratamento.

Detalhamento das medidas. As medidas técnicas e organizacionais implementadas pelo Subcontratante estão descritas no Anexo 2 deste Acordo. Essas medidas podem evoluir ao longo do tempo, desde que o nível de segurança não seja reduzido.

Compartilhamento de responsabilidades. O Controlador permanece responsável pela implementação das medidas de segurança que estejam sob sua própria esfera de controle, nomeadamente a gestão das credenciais e permissões de seus usuários, a segurança de seus próprios sistemas de informação e a minimização dos dados submetidos ao Serviço.

8. Recurso a subcontratantes ulteriores

Autorização geral. Em conformidade com o artigo 28, parágrafos 2 e 4, do RGPD, o Controlador autoriza de forma geral o Operador a recorrer a suboperadores para a execução de atividades de tratamento específicas necessárias à prestação do Serviço. A lista dos suboperadores autorizados na data do presente Acordo consta do Anexo 3.

Informação prévia e direito de oposição. O Operador informa o Controlador sobre qualquer alteração prevista relativa à inclusão ou substituição de um suboperador subsequente, por qualquer meio apropriado (notadamente por meio da publicação de uma atualização do Anexo 3 e de informação no site ou no âmbito do Serviço), dando assim ao Controlador a possibilidade de apresentar objeções a essas alterações dentro de um prazo razoável. Em caso de objeção legítima e fundamentada do Controlador, as Partes envidarão esforços para encontrar uma solução. Na ausência de solução, o Controlador poderá rescindir a parte do Serviço relacionada ao recurso ao suboperador subsequente litigioso, nas condições previstas no contrato.

Obrigações impostas aos subcontratados subsequentes. Em conformidade com o artigo 28, parágrafo 4, do RGPD, quando o Subcontratado recorrer a um subcontratado subsequente, ele imporá a este, por contrato ou por qualquer outro ato jurídico, as mesmas obrigações em matéria de proteção de dados que as estabelecidas no presente Acordo, em particular a obrigação de apresentar garantias suficientes quanto à implementação de medidas técnicas e organizacionais apropriadas.

Responsabilidade. O Operador permanece plenamente responsável perante o Controlador pelo cumprimento, pelo suboperador, de suas obrigações em matéria de proteção de dados. Caso o suboperador não cumpra suas obrigações, o Operador permanece plenamente responsável perante o Controlador pelo cumprimento, pelo suboperador, de suas obrigações.

9. Assistência para o exercício dos direitos dos titulares de dados

Obrigação de assistência. Nos termos do artigo 28º, n.º 3, alínea e), do RGPD, o Subcontratante auxilia o Responsável, por meio de medidas técnicas e organizacionais adequadas, na medida do possível, a cumprir sua obrigação de atender às solicitações apresentadas pelos titulares dos dados no exercício de seus direitos.

Direitos abrangidos. A assistência abrange o conjunto dos direitos previstos no capítulo III do RGPD, nomeadamente o direito de acesso, de retificação, de apagamento, de limitação do tratamento, de portabilidade dos dados, bem como o direito de oposição.

Transmissão dos pedidos. Caso um titular de dados encaminhe diretamente ao Operador um pedido de exercício de seus direitos relativo a um tratamento realizado por conta do Controlador, o Operador transmite sem demora esse pedido ao Controlador e se abstém de respondê-lo diretamente, salvo instrução em contrário do Controlador.

Meios disponibilizados. Na medida em que o Serviço o permita, o Operador disponibiliza ao Controlador as funcionalidades e ferramentas que lhe permitem responder às solicitações dos titulares dos dados.

10. Assistência em matéria de segurança, violações, AIPD e consulta prévia

Obrigação geral de assistência. Nos termos do artigo 28.º, parágrafo 3.º, alínea f), do RGPD, o Subcontratante auxilia o Responsável a garantir o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, tendo em conta a natureza do tratamento e as informações à disposição do Subcontratante.

Segurança do tratamento (artigo 32.º). O Subcontratante auxilia o Responsável na conformidade com os requisitos de segurança estabelecidos no artigo 32.º do RGPD, nomeadamente comunicando-lhe as informações relativas às medidas técnicas e organizacionais implementadas.

Notificação de violações (artigos 33 e 34). O Subcontratante auxilia o Controlador no cumprimento de suas obrigações de notificação de uma violação de dados pessoais à autoridade de controle e, se for o caso, de comunicação dessa violação aos titulares dos dados, nas condições previstas na seção “Notificação de violações de dados pessoais” do presente Acordo.

Avaliação de impacto (artigo 35). O Operador assiste o Controlador, quando necessário e na medida das informações de que dispõe, na realização de uma avaliação de impacto relativa à proteção de dados (AIPD) referente aos tratamentos efetuados por meio do Serviço.

Consulta prévia (artigo 36). O Subcontratante auxilia o Controlador, se for o caso, no âmbito da consulta prévia à autoridade de controle prevista no artigo 36 do RGPD.

Custo da assistência. A assistência prevista nesta cláusula é fornecida levando em conta a natureza do tratamento e as informações à disposição do Operador. Quando os pedidos de assistência excederem o que está razoavelmente incluído no Serviço, o Operador poderá cobrar do Controlador os custos razoáveis incorridos a esse título, mediante informação prévia.

11. Notificação de violações de dados de caráter pessoal

Informação ao Responsável. O Subcontratante notifica o Responsável de qualquer violação de dados de caráter pessoal o mais rapidamente possível após dela tomar conhecimento, a fim de permitir ao Responsável cumprir, se for o caso, sua obrigação de notificação à autoridade de controle no prazo de setenta e duas (72) horas previsto no artigo 33 do RGPD.

Conteúdo da notificação. Na medida das informações de que dispõe, o Subcontratante comunica ao Responsável, se for o caso, de forma escalonada:

• a descrição da natureza da violação, incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registros afetados;
• as consequências prováveis da violação;
• as medidas adotadas ou propostas para remediar a violação e, se for o caso, atenuar suas consequências negativas;
• os dados de contato de um ponto de contato junto ao qual podem ser obtidas informações adicionais.

Cooperação. O Subcontratante coopera com o Responsável e adota as medidas razoáveis para auxiliar na investigação, na contenção e na resolução da violação. Salvo obrigação legal em contrário, o Subcontratante não realiza qualquer notificação à autoridade de controle ou aos titulares dos dados em nome do Responsável, salvo instrução expressa deste último.

12. Transferências para fora da União Europeia

Princípio. O Subcontratante não realiza qualquer transferência de dados pessoais para um país terceiro à União Europeia ou para uma organização internacional sem antes informar o Responsável e sem ter implementado as garantias adequadas previstas no capítulo V do RGPD.

Garantias apropriadas. Alguns subcontratados subsequentes aos quais o Subcontratado recorre estão estabelecidos fora do Espaço Econômico Europeu, em especial nos Estados Unidos. As transferências para esses subcontratados subsequentes são regidas pelas Cláusulas Contratuais-Tipo (CCT) adotadas pela Comissão Europeia em sua decisão de execução (UE) 2021/914, de 4 de junho de 2021, e, se for o caso, por qualquer outro mecanismo de transferência reconhecido como válido (nomeadamente decisão de adequação ou certificação nos termos de um regime de proteção de dados reconhecido).

Medidas suplementares. Quando necessário, o Subcontratante implementa, ou assegura que os subcontratantes ulteriores envolvidos implementem, medidas suplementares adequadas (técnicas, organizacionais e contratuais) a fim de garantir um nível de proteção de dados de caráter pessoal substancialmente equivalente ao garantido no âmbito da União Europeia.

Informação ao Controlador. Mediante solicitação, o Operador comunica ao Controlador as informações relativas às garantias implementadas para regular as transferências. A lista dos suboperadores e sua localização constam no Anexo 3.

13. Auditorias e inspeções

Disponibilização de informações. Nos termos do artigo 28º, n.º 3, alínea h), do RGPD, o Subcontratante disponibiliza ao Responsável todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28º do RGPD e para permitir a realização de auditorias, incluindo inspeções, pelo Responsável ou por outro auditor por ele designado, e contribui para essas auditorias.

Modalidades da auditoria. O Responsável pode, às suas expensas, realizar uma auditoria do cumprimento, pelo Operador, das suas obrigações nos termos do presente Acordo, nas seguintes condições:

• a auditoria é realizada mediante aviso prévio por escrito razoável, que não poderá ser inferior a trinta (30) dias corridos, exceto em caso de violação de dados comprovada ou de solicitação de uma autoridade de controle;
• a auditoria ocorre durante os horários e dias úteis e de forma a não perturbar de maneira desproporcional a atividade do Operador;
• a auditoria é limitada a uma (1) vez por período de doze (12) meses, salvo circunstâncias excepcionais (violação comprovada, solicitação de uma autoridade de controle);
• o auditor designado pelo Controlador não deve ser um concorrente do Operador e deve estar sujeito a uma obrigação de confidencialidade;
• as constatações e informações obtidas por ocasião da auditoria são estritamente confidenciais.

Documentação e certificações. O Operador pode cumprir sua obrigação de demonstração de conformidade disponibilizando ao Controlador a documentação pertinente, os relatórios de auditoria, atestados ou certificações de que dispuser, quando esses elementos permitirem justificar razoavelmente o cumprimento de suas obrigações.

Custos. Os custos relacionados à realização da auditoria ficam a cargo do Responsável. O tempo razoavelmente dedicado pelo Subcontratante à assistência e ao acompanhamento da auditoria poderá ser faturado ao Responsável, mediante informação prévia, quando exceder o que está razoavelmente incluído no Serviço.

14. Destino dos dados ao término do tratamento

Escolha do Controlador. Nos termos do artigo 28, parágrafo 3, alínea g), do RGPD, ao término da prestação de serviços relativa ao tratamento, o Operador, conforme a escolha do Controlador, exclui ou devolve todos os dados pessoais ao Controlador e destrói as cópias existentes, a menos que o direito da União Europeia ou o direito do Estado-Membro exija a conservação dos dados pessoais.

Prazos. O Responsável dispõe de um prazo razoável, que não poderá ser inferior a trinta (30) dias corridos a contar do término da prestação, para exercer sua escolha de restituição ou exclusão. Na falta de instrução do Responsável ao término desse prazo, o Subcontratante procede à exclusão dos dados pessoais.

Modalidades de devolução. Em caso de devolução, os dados são enviados ao Controlador em um formato estruturado e de uso corrente, na medida das funcionalidades de exportação do Serviço.

Exclusão. A exclusão ocorre em prazo razoável, inclusive junto aos suboperadores envolvidos, e abrange as cópias existentes, ressalvadas as obrigações legais de conservação e as cópias de segurança sujeitas a um ciclo de exclusão automática segundo uma rotação determinada.

Atestação. A pedido do Responsável, o Subcontratante atesta por escrito a efetiva exclusão dos dados pessoais.

15. Responsabilidade, garantia e repartição entre as partes

Princípio da responsabilidade. Cada Parte responde pelos danos causados pelo tratamento quando não tiver cumprido as obrigações do RGPD que lhe incumbem especificamente, ou quando tiver agido fora das instruções lícitas do Controlador ou contrariamente a elas, em conformidade com o artigo 82 do RGPD.

Responsabilidade do Subcontratante. O Subcontratante somente será responsável pelos danos causados pelo tratamento decorrentes do descumprimento de suas próprias obrigações nos termos do presente Acordo ou das obrigações que lhe incumbem especificamente como subcontratante, na acepção do RGPD.

Responsabilidade do Controlador. O Controlador garante o Subcontratante contra qualquer reclamação, ação ou demanda de terceiros, incluindo titulares de dados e autoridades de controle, decorrente de um descumprimento pelo Controlador de suas próprias obrigações, notadamente em matéria de licitude dos tratamentos, de informação aos titulares de dados, de base jurídica, de minimização de dados e de licitude do Conteúdo do Cliente submetido aos Agentes.

Limitação de responsabilidade. As limitações e exclusões de responsabilidade previstas nos Termos e Condições Gerais de Venda aplicam-se ao presente Acordo, na medida permitida pelo direito aplicável e sob reserva das disposições imperativas do RGPD relativas à reparação dos danos sofridos pelos titulares dos dados.

16. Duração e rescisão do acordo

Duração. O presente Acordo produz efeitos a partir da data de aceitação pelo Cliente e permanece em vigor durante toda a vigência do contrato de serviços em virtude do qual o Subcontratante trata dados de caráter pessoal por conta do Responsável.

Caráter acessório. O presente Acordo constitui um acessório do contrato de serviços. Ele se extingue automaticamente ao término do contrato de serviços, sem prejuízo das estipulações relativas ao destino dos dados ao término do tratamento e das obrigações cuja natureza implica que sobrevivam ao término do Acordo (nomeadamente a confidencialidade).

Sobrevivência de determinadas obrigações. As obrigações de confidencialidade, de exclusão ou de restituição dos dados e de cooperação em caso de solicitação de uma autoridade de controle sobrevivem ao término do presente Acordo pelo prazo necessário à sua execução.

17. Disposições diversas

Hierarquia dos documentos. Em caso de contradição entre as disposições do presente Acordo e as dos demais documentos contratuais relativos ao tratamento de dados de caráter pessoal, prevalecem as disposições do presente Acordo. Para qualquer questão não relacionada à proteção de dados, permanecem aplicáveis as Condições gerais de venda e as Condições gerais de utilização.

Nulidade parcial. Caso uma ou mais estipulações do presente Acordo sejam declaradas nulas, ilícitas ou inaplicáveis, as demais estipulações manterão toda a sua força e alcance. As Partes envidarão esforços para substituir a estipulação inválida por uma estipulação válida que persiga um objetivo equivalente.

Modificação. O Operador poderá ter de atualizar o presente Acordo, especialmente para levar em conta a evolução da regulamentação aplicável, as diretrizes das autoridades de controle ou do Serviço. O Controlador é informado disso por qualquer meio apropriado.

Lei aplicável e jurisdição. O presente Acordo é regido pelo direito francês e pelo direito da União Europeia. Qualquer litígio relativo à sua interpretação ou execução é de competência dos tribunais determinados em conformidade com as Condições Gerais de Venda, sem prejuízo das regras imperativas de competência, especialmente as que protegem os titulares dos dados.

18. Anexo 1 — Descrição do tratamento

O presente Anexo especifica os elementos do tratamento exigidos pelo artigo 28º, n.º 3, do RGPD. O escopo efetivo do tratamento depende dos usos e configurações do Cliente, bem como do Conteúdo do Cliente submetido aos Agentes.

19. Anexo 2 — Medidas técnicas e organizacionais de segurança

O Subcontratado implementa as seguintes medidas técnicas e organizacionais, em conformidade com o artigo 32 do RGPD. Essas medidas podem evoluir, sem redução do nível de segurança.

O Responsável permanece responsável pelas medidas de segurança de sua própria esfera, nomeadamente a gestão de suas credenciais e a segurança de seus próprios sistemas.

20. Anexo 3 — Lista dos subcontratantes ulteriores autorizados

O Controlador autoriza o recurso aos seguintes suboperadores, na data do presente Acordo. Toda modificação dessa lista é objeto de informação prévia ao Controlador, que dispõe de um direito de oposição nas condições previstas no presente Acordo.

Para qualquer informação complementar relativa aos subcontratados posteriores e às garantias que regem as transferências, o Controlador pode enviar uma solicitação por correio postal à sede social do Subcontratado. Um endereço de e-mail de contato dedicado será disponibilizado assim que o domínio for aberto e publicado aqui.