MuchBetter Negócios
ADENDO DE PROTEÇÃO DE DADOS

1. Definições

Todos os termos em maiúsculas não definidos neste Adendo de Proteção de Dados (“DPA”) têm os significados estabelecidos no Contrato.

1. Afiliado significa qualquer pessoa ou entidade que, direta ou indiretamente, controle, seja controlada por ou esteja sob controle comum com uma Parte. Para os fins desta definição, “controle” (incluindo, com significados correlativos, os termos “controlando”, “controlado por” e “sob controle comum com”) significa o poder de administrar ou dirigir os negócios da pessoa ou entidade em questão, seja pela propriedade de títulos com direito a voto, por contrato ou de outra forma.
2. Acordo significa o Contrato de Serviços de Conta Comercial MuchBetter entre a MIR e o Titular da Conta que envolve acesso ou outro Processamento de Dados Pessoais;
3. Jurisdição Aprovada significa um estado-membro do EEE, ou outra jurisdição que possa ser aprovada como tendo proteções legais adequadas para dados pela Comissão Europeia, ou pelos regulamentos de adequação do Reino Unido emitidos sob a Seção 17A da Lei de Proteção de Dados de 2018 ou Parágrafos 4 e 5 do Anexo 21 da Lei de Proteção de Dados de 2018, conforme aplicável;
4. Incidente de violação significa uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a dados pessoais transmitidos, armazenados ou de outra forma processados;
5. Leis de Proteção de Dados significa todas e/ou todas as leis, regras, diretivas e regulamentos nacionais e estrangeiros aplicáveis relativos à privacidade de dados, segurança de dados e/ou proteção de Dados Pessoais, incluindo a Diretiva de Privacidade e Comunicações Eletrônicas 2002/58/EC (e respectivas leis locais de implementação) relativas ao processamento de dados pessoais e à proteção da privacidade no setor de comunicações eletrônicas (Diretiva sobre privacidade e comunicações eletrônicas), incluindo quaisquer alterações ou substituições a elas, incluindo o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 (“GDPR”) e incluindo a Lei de Proteção de Dados de 2018 e o GDPR, conforme faz parte da lei da Inglaterra e País de Gales, Escócia e Irlanda do Norte em virtude da seção 3 da Lei de Retirada da União Europeia de 2018 (“UK GDPR”).
6. EEE significa os países que são membros do Espaço Econômico Europeu.
7. MIR significa MIR Limited UK Ltd, fornecedora de Serviços de Conta Comercial MuchBetter
8. Dados Pessoais ou “Dados Pessoais” significa qualquer informação que seja sobre, ou possa ser relacionada a, um indivíduo identificável. Inclui qualquer informação que possa ser vinculada a um indivíduo ou usada para identificar direta ou indiretamente um indivíduo, pessoa física. Dados Pessoais serão considerados Informações Confidenciais, independentemente da fonte.
9. Processo significa qualquer operação ou conjunto de operações realizadas com Dados Pessoais, seja por meios automatizados ou não, tais como coleta, registro, organização, armazenamento, adaptação ou alteração, acesso, recuperação, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, alinhamento ou combinação, bloqueio, apagamento ou destruição. “Processos” ou “Processamento” deverão ser interpretados em conformidade.
10. Cláusulas contratuais padrão ou “SCCs”, o módulo aplicável das cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros, de acordo com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 4 de junho de 2021, conforme possa ser alterado, substituído ou revogado periodicamente.
11. Adendo do Reino Unido significa o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão, que entrou em vigor em 21 de março de 2022.

2. Aplicação deste DPA

1. Este DPA só será aplicável na medida em que todas as seguintes condições sejam atendidas:
   
   1. Qualquer uma das Partes processa Dados Pessoais disponibilizados pela outra Parte em conexão com o Contrato;
   2. As Leis de Proteção de Dados se aplicam ao processamento de Dados Pessoais.
2. Este DPA se aplicará somente aos serviços que as Partes concordaram no Contrato e que incorpora o DPA por referência.

3. Proteção de Dados e Privacidade

1. Na medida em que uma Parte tenha acesso ou de outra forma processe Dados Pessoais disponibilizados para a outra Parte, então esta Parte deverá:
   
   1. Será um Controlador independente dos Dados Pessoais e determinará as finalidades e meios de processamento de acordo com o Contrato e as Leis de Proteção de Dados.
   2. Processar os Dados Pessoais somente de acordo com os requisitos das Leis de Proteção de Dados e, conforme exigido pelas Leis de Proteção de Dados, manter registros escritos precisos de todas as atividades de Processamento de quaisquer Dados Pessoais realizadas sob o Contrato.
   3. Sem prejuízo do exposto acima, será responsável por fornecer ao titular dos dados quaisquer informações exigidas pelas Leis de Proteção de Dados e permitir que os titulares dos dados exerçam seus direitos sob as Leis de Proteção de Dados, e deverá fornecer à outra Parte cooperação e assistência razoáveis para cumprir o exposto acima e quaisquer obrigações legais ou regulatórias;
   4. Implementar e manter medidas de segurança físicas, técnicas e organizacionais comercialmente razoáveis e apropriadas para proteger Dados Pessoais contra destruição acidental ou ilegal; perda acidental, alteração, divulgação ou acesso não autorizado a dados pessoais transmitidos, armazenados ou processados de outra forma, e todas as outras formas ilegais de Processamento;
   5. Cumprir quaisquer obrigações de notificação de violação de dados pessoais à autoridade supervisora e obrigações de comunicação aos titulares dos dados, conforme exigido pelas Leis de Proteção de Dados;
   6. Notificar a outra Parte sem demora injustificada e no prazo máximo de vinte e quatro (24) horas, após tomar conhecimento de um Incidente de Violação.
2. A Parte que inicialmente obtiver os Dados Pessoais de um titular de dados será responsável por obter quaisquer consentimentos que possam ser exigidos do titular dos dados (em cada caso, na medida necessária para cumprir com as Leis de Proteção de Dados) e por fornecer informações ao titular dos dados antes da coleta dos Dados Pessoais (por exemplo, “Aviso de Privacidade” ou “Política de Privacidade”), conforme necessário para cumprir com as Leis de Proteção de Dados. O acima exposto não prejudicará as responsabilidades da outra Parte sob as Leis de Proteção de Dados (como a exigência de fornecer informações ao titular dos dados quando os Dados Pessoais estiverem relacionados ao processamento de Dados Pessoais).
3. Cada Parte pode nomear subcontratados, incluindo Afiliadas para processar Dados Pessoais em seu nome (“Subprocessadores”) com a finalidade de executar suas obrigações e serviços sob o Contrato, desde que: (i) a nomeação esteja sujeita a um contrato por escrito com o Subprocessador nomeado contendo, quando aplicável, termos que forneçam proteção equivalente de Dados Pessoais conforme previsto neste Adendo de Proteção de Dados; e (ii) cada Parte será responsável pelos atos ou omissões de seus próprios Subprocessadores na mesma medida em que for responsável por suas próprias ações ou omissões sob este Adendo de Proteção de Dados, o Contrato e as Leis de Proteção de Dados.

4. A Transferência de Dados Pessoais

As Partes não processarão ou transferirão Dados Pessoais para fora de uma Jurisdição Aprovada;

1. se uma Parte desejar Processar Dados Pessoais ou transferir Dados Pessoais para uma jurisdição diferente de uma Jurisdição Aprovada, então ela será considerada como parte das SCCs, quando aplicável, juntamente com o Adendo do Reino Unido, caso em que: (i) o Adendo do Reino Unido e as SCCs são incorporados aqui por referência; e (ii) a Parte que divulga os Dados Pessoais será considerada como o Exportador e a Parte que recebe os Dados Pessoais será considerada como o Importador (conforme esses termos são definidos nele).

5. Geral

1. Se qualquer uma das Leis de Proteção de Dados for substituída por Leis de Proteção de Dados novas ou modificadas (incluindo quaisquer decisões ou interpretações de um tribunal relevante ou autoridade governamental relacionadas a elas), as Leis de Proteção de Dados novas ou modificadas serão consideradas incorporadas a este Adendo de Proteção de Dados, e ambas as Partes começarão imediatamente a cumprir tais Leis de Proteção de Dados.
2. Se houver qualquer conflito ou inconsistência entre os termos deste DPA e as Cláusulas Contratuais Padrão ou o Adendo do Reino Unido (conforme aplicável), os termos das Cláusulas Contratuais Padrão ou do Adendo do Reino Unido (conforme aplicável) prevalecerão.

Anexo I das SCCs

1. O Anexo 1 faz parte do DPA e define a interpretação acordada entre as Partes de suas respectivas obrigações sob o Adendo do Reino Unido e/ou Cláusulas Contratuais Padrão.
2. As Partes concordam que, para fins de transferência de Dados Pessoais entre o MIR e o Titular da Conta, o seguinte será aplicável:
   
   1. A cláusula 7 das SCCs não será aplicável
   2. A autoridade supervisora será o UK Information Commissioner's Office, onde o UK Addendum estiver incorporado, ou o Irish Data Protection Commissioner, quando apenas as SCCs estiverem incorporadas.
   3. As leis da Inglaterra e do País de Gales prevalecerão quando o Adendo do Reino Unido for aplicável e as da Irlanda quando não for.
   4. As Partes escolhem os tribunais ingleses como sua escolha de foro e jurisdição quando o Adendo do Reino Unido se aplica e os da Irlanda quando não se aplica.
   5. Na Tabela 4 do Adendo do Reino Unido, qualquer uma das partes pode rescindir o contrato de acordo com a seção 19 do Adendo do Reino Unido.

Identificação das Partes

“Exportador de Dados”: o transmissor de Dados Pessoais;

“Importador de Dados”: o destinatário dos Dados Pessoais

Descrição da Transferência

Titulares dos dados

Os Dados Pessoais processados dizem respeito às seguintes categorias de Titulares de Dados (especifique):

• ☐ Funcionários do MIR
• ☐ Clientes da MIR
• ☐ Usuários finais do titular da conta
• ☐ Funcionários do Titular da Conta
• ☐ Clientes do Titular da Conta
• ☐ Outro: ________

Categorias de Dados Pessoais

Os Dados Pessoais transferidos dizem respeito às seguintes categorias de dados (especifique):

• ☐ Informações de contato (nome, idade, sexo, endereço, número de telefone, endereço de e-mail etc.)
• ☐ Dados financeiros e de pagamento (por exemplo, número do cartão de crédito, conta bancária, transações)
• ☐ Documentos de identificação governamentais (passaporte, carteira de motorista)
• ☐ Identificadores de dispositivos e atividade de rede eletrônica ou de internet (endereços IP, GAID/IDFA, histórico de navegação, registros de data e hora)
• ☐ Informações de geolocalização
• ☐ Dados biométricos
• ☐ Outro: ________

Categorias especiais de dados (se aplicável)

Os Dados Pessoais transferidos dizem respeito às seguintes categorias especiais de dados (especifique):

• ☐ Nenhum
• ☐ Dados genéticos ou biométricos
• ☐ Dados de saúde
• ☐ Origem racial ou étnica
• ☐ Opiniões políticas, crenças religiosas ou filosóficas
• ☐ Outro: ________

A frequência da transferência:

• ☐ Único
• ☐ Contínuo
• ☐ Outro: ________

Natureza do processamento

• ☐ Coleção
• ☐ Gravação
• ☐ Organização ou estruturação
• ☐ Armazenamento
• ☐ Adaptação ou alteração
• ☐ Recuperação
• ☐ Consulta
• ☐ Divulgação, disseminação ou outra forma de disponibilização
• ☐ Análise
• ☐ Apagamento ou destruição
• ☐ Outro: ________
•  

Finalidade da transferência e processamento posterior

• ☐ Fornecer, gerenciar e operar os Serviços de Conta MBB
• ☐ Outro: ________

Período de retenção

Os Dados Pessoais serão retidos durante o prazo do Contrato ou de acordo com a Legislação Aplicável.

Anexo II das SCCs – Medidas técnicas e organizacionais, incluindo medidas técnicas e organizacionais para garantir a segurança dos dados

Este Anexo faz parte do DPA e descreve as medidas de segurança técnicas e organizacionais implementadas pelo importador de dados.

Levando em consideração o estado da arte, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do processamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas físicas, o Importador de Dados deverá implementar medidas técnicas e organizacionais apropriadas para garantir um nível de segurança apropriado ao risco, incluindo, entre outros, conforme apropriado:

• a pseudonimização e a encriptação de dados pessoais;
• a capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas e serviços de processamento;
• a capacidade de restaurar a disponibilidade e o acesso aos dados pessoais em tempo hábil em caso de incidente físico ou técnico;
• um processo para testar, avaliar e aferir regularmente a eficácia das medidas técnicas e organizacionais para garantir a segurança do processamento; e
• manutenção de Políticas de Segurança da Informação e Privacidade de Dados