Este Adendo de Proteção de Dados (“DPA”) faz parte do Contrato Principal de Assinatura entre a Aryaka e o Cliente (conforme aplicável, o“Contrato”), nos termos do qual a Aryaka presta os Serviços ao Cliente. Os termos em letras maiúsculas utilizados, mas não definidos neste DPA, terão o significado estabelecido no Contrato.
1. DEFINIÇÕES
1.1. Por“Controlador”entende-se a entidade que, sozinha ou em conjunto com outras, determina as finalidades e os meios do tratamento de dados pessoais.
1.2. Por“Leis de Proteção de Dados”entende-se todas as leis aplicáveis ao tratamento de dados pessoais pela respectiva Parte.
1.3.“Titular dos dados”significa qualquer pessoa física cujos dados pessoais possam ser tratados nos termos deste Acordo de Tratamento de Dados (DPA).
1.4.“Dados Pessoais”significa informações relacionadas a uma pessoa física identificada ou identificável, fornecidas pelo Cliente aos Serviços.
1.5.“Tratamento”ou“Tratar”significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais ou conjuntos de Dados Pessoais, por meios automatizados ou não, tais como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por meio de transmissão, difusão ou disponibilização de qualquer outra forma, alinhamento ou combinação, restrição, apagamento ou destruição de Dados Pessoais.
1.6.“Subcontratado”significa a entidade que trata Dados Pessoais em nome do Controlador de Dados.
2. RELAÇÃO ENTRE AS PARTES. O Cliente e a Aryaka celebraram um Contrato de Prestação de Serviços. As Partes reconhecem que o Cliente é o Controlador, para os fins do Contrato, e que a Aryaka é o Processador. As Partes tratarão os Dados Pessoais de acordo com o Contrato e com as leis de proteção de dados aplicáveis.
3. OBRIGAÇÕES DO CLIENTE. O Cliente fornecerá apenas Dados Pessoais que sejam adequados, relevantes e razoavelmente necessários para que a Aryaka preste os Serviços. O Cliente declara e garante que a coleta de Dados Pessoais e a divulgação dos mesmos à Aryaka estão em conformidade com todas as Leis de Proteção de Dados aplicáveis.
4. INSTRUÇÕES. A Aryaka tratará os Dados Pessoais apenas (i) de acordo com as instruções do Cliente, conforme documentado no Contrato e descrito mais detalhadamente no Anexo IB; e (ii) conforme necessário para cumprir a legislação aplicável, desde que a Aryaka não seja obrigada a agir de acordo com qualquer instrução do Cliente que possa (na opinião razoável da Aryaka) levar a Aryaka a infringir a legislação aplicável. A Aryaka informará o Cliente caso considere que quaisquer instruções do Cliente relativas ao tratamento de dados pessoais violariam a legislação de proteção de dados aplicável.
5. SEGURANÇA. A Aryaka tomará as medidas razoáveis para implementar medidas técnicas e organizacionais adequadas, destinadas a proteger os Dados Pessoais contra ameaças ou riscos previstos à sua segurança, confidencialidade ou integridade. A Aryaka garantirá que as pessoas autorizadas a tratar Dados Pessoais tenham se comprometido a respeitar a confidencialidade ou estejam sujeitas a uma obrigação legal adequada de confidencialidade.
6. VIOLAÇÃO DE DADOS. A Aryaka notificará o Cliente sem demora injustificada sempre que tomar conhecimento de que ocorreu uma violação de segurança que tenha levado à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado, de forma acidental ou ilícita, Dados Pessoais Processados (cada um deles, uma“Violação de Dados”), a menos que tal seja proibido pela legislação aplicável ou que haja instruções em contrário por parte de autoridades de aplicação da lei ou de uma autoridade supervisora. Levando em consideração a natureza do Tratamento e as informações disponíveis à Aryaka, esta tomará medidas razoáveis para auxiliar o Cliente, mediante solicitação razoável deste, no cumprimento de suas obrigações de notificação relativas a violações de dados, conforme exigido pela legislação aplicável. A Aryaka reserva-se o direito de cobrar uma taxa razoável do Cliente por qualquer assistência solicitada.
7. DEVOLUÇÃO OU DESCARTE. Within 30 days of termination of the Agreement, Customer may request that Aryaka destroy or return all Personal Data to Customer, unless applicable law requires storage of the Personal Data by Aryaka.
8. AUDITORIAS; INQUÉRITOS. Mediante solicitação razoável do Cliente (a ser exercida no máximo uma vez por ano, a menos que exigido com maior frequência por uma autoridade supervisora), a Aryaka disponibilizará prontamente ao Cliente todas as informações em seu poder necessárias para demonstrar o cumprimento, por parte da Aryaka, de suas obrigações nos termos deste DPA e permitirá e contribuirá para a realização de auditorias razoáveis. Todas as informações fornecidas constituirão Informações Confidenciais da Aryaka e não poderão ser divulgadas sem o consentimento prévio por escrito da Aryaka, salvo nos casos exigidos pela legislação aplicável.
9. SUBCONTRATAÇÃO. O Cliente autoriza a Aryaka a transferir Dados Pessoais a subcontratados com o objetivo de prestar os Serviços ao Cliente. A Aryaka manterá uma lista dos subcontratados. Uma lista atualizada dos subprocessadores está incluída no Anexo III. A Aryaka notificará o Cliente com 14 dias de antecedência ao adicionar um subprocessador a essa lista e concederá a ele a oportunidade de se opor a tal adição. Caso a Aryaka não receba nenhuma objeção no prazo de 14 dias a partir da notificação, considera-se que o subprocessador foi aceito pelo Cliente. A Aryaka celebrará um contrato com tal subcontratado que inclua termos de proteção de dados semelhantes aos do presente DPA.
10. ASSISTÊNCIA DA ARYAKA. Mediante solicitação razoável do Cliente e levando em consideração a natureza do Tratamento, a Aryaka tomará medidas razoáveis para auxiliar o Cliente no cumprimento de sua obrigação de responder às solicitações dos Titulares de Dados para que estes exerçam seus direitos nos termos da legislação aplicável, adotando medidas técnicas e organizacionais adequadas. Levando em consideração a natureza do Tratamento e as informações disponíveis à Aryaka, a Aryaka também auxiliará o Cliente, mediante solicitação razoável deste, no cumprimento de suas obrigações de conformidade relativas à realização de avaliações de impacto sobre a proteção de dados e consultas relacionadas às autoridades de supervisão. A Aryaka reserva-se o direito de cobrar uma taxa razoável do Cliente por tal assistência solicitada.
11. DISPOSIÇÕES DA LEI DE PRIVACIDADE DO CONSUMIDOR DA CALIFÓRNIA (CCPA).
11.1. Conformidade legal. A Aryaka fornecerá o mesmo nível de proteção à privacidade dos Dados Pessoais dos residentes da Califórnia, conforme exigido do Cliente nos termos da CCPA. A Aryaka notificará o Cliente por escrito caso determine que não pode mais cumprir suas obrigações nos termos da CCPA. O Cliente tem o direito, mediante notificação à Aryaka, de tomar medidas razoáveis e adequadas para impedir e corrigir o uso não autorizado de Dados Pessoais, inclusive nos casos em que a Aryaka tenha notificado o Cliente de que não pode mais cumprir suas obrigações previstas na CCPA.
11.2. Restrição ao tratamento de dados. Em nenhuma circunstância a Aryaka poderá: (a) divulgar Dados Pessoais de residentes da Califórnia a terceiros em troca de contraprestação monetária ou outra contraprestação de valor, nem divulgar Dados Pessoais a terceiros para fins de publicidade comportamental entre diferentes contextos; (b) divulgar Dados Pessoais de residentes da Califórnia a quaisquer terceiros para benefício comercial da Aryaka ou de quaisquer terceiros; (c) reter, utilizar ou divulgar Dados Pessoais de residentes da Califórnia fora do âmbito da relação comercial direta da Aryaka com o Cliente ou para fins comerciais que não sejam os especificados no Contrato ou conforme permitido pelas leis aplicáveis; ou (d) combinar Dados Pessoais de residentes da Califórnia com informações pessoais que a Aryaka receba de, ou em nome de, outras pessoas, ou que colete a partir de sua própria interação com o Titular dos Dados, exceto conforme permitido pelas leis aplicáveis. A Aryaka certifica que compreende e cumprirá as restrições acima mencionadas.
12. TRANSFERÊNCIAS DE DADOS.
12.1. Transferências restritas de dados pessoais sujeitas ao RGPD. As Cláusulas Contratuais Padrão da UE (Módulo 2: do Controlador para o Processador) ((UE) 2021/914) (“Cláusulas Contratuais Padrão da UE”), conforme preenchidas pela Aryaka de acordo com a estrutura modular das cláusulas padrão e as opções estabelecidas nesta Seção 12.1, são incorporadas ao presente por referência. Juntamente com os Anexos I e II em anexo, as Cláusulas Contratuais Padrão da UE serão aplicáveis a qualquer transferência de Dados Pessoais sujeita ao Regulamento Geral de Proteção de Dados da UE ((UE) 2016/679) (“RGPD”). Não obstante o exposto, as Cláusulas Contratuais Padrão da UE não se aplicarão na medida em que a transferência seja abrangida por uma decisão adotada por uma autoridade competente com jurisdição sobre o Cliente, declarando que uma jurisdição atende a um nível adequado de proteção de Dados Pessoais (uma“Decisão de Adequação”).
12.2. Transferências restritas provenientes da Suíça. The EU SCCs, as modified in this Section 12.2, will apply to any transfer of Personal Data that is subject to the Swiss Federal Act on Data Protection (FADP) and is not otherwise subject to an Adequacy Decision:
12.2.1. The term “EU Member State” must not be interpreted in such a way as to exclude data subjects in Switzerland from the possibility for suing their rights in their place of habitual residence (Switzerland) in accordance with Clause 18(c).
12.2.2. References in the EU SCCs to the GDPR are to be understood as references to the FADP.
12.2.3. In Clause 17, the EU SCCs will be governed by the laws of Switzerland.
12.2.4. In Annex I.C, the Swiss Federal Data Protection and Information Commissioner is the competent supervisory authority.
12.3. Transferências restritas provenientes do Reino Unido. Where the Transfer of Personal Data is subject to the laws of the United Kingdom (including the UK General Data Protection Regulation) and are not otherwise subject to an Adequacy Decision, the parties agree:
12.3.1. As disposições do Adendo do Reino Unido sobre Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia, Versão B1.0, em vigor a partir de 21 de março de 2022 (“Adendo do Reino Unido”), incluindo a Parte 2 , “Cláusulas Obrigatórias”, são aqui incorporadas por referência e serão aplicadas na íntegra;
12.3.2. In Table 1 of the UK Addendum, the names of the parties, their roles and their details shall be set out in the attached Annex 1;
12.3.3. In Tables 2 and 3 of the UK Addendum, Module 2 of the EU SCCs incorporated into this DPA by reference, including the information set out in the attached Annexes, shall apply; and
12.3.4. In Table 4 of the UK Addendum, either party may end the UK Addendum.
12.4. Tratamento e transferências de dados pessoais sujeitos à PIPL. Na medida em que a Aryaka trate Dados Pessoais de indivíduos localizados na China continental em conexão com os Serviços, tal tratamento está sujeito ao Suplemento da PIPL ao Adendo de Proteção de Dados da Aryaka (o“Suplemento da PIPL”), que complementa e faz parte deste DPA. Em caso de qualquer conflito entre o presente DPA e o Suplemento PIPL no que diz respeito aos Dados Pessoais de indivíduos localizados na China continental, prevalecerá o Suplemento PIPL.
13. CONFLITOS; EXECUTORÍVEZ. Caso qualquer disposição deste DPA seja considerada inválida ou inexequível por qualquer tribunal de jurisdição competente, tal decisão não invalidará nem tornará inexequível qualquer outra disposição deste DPA ou de qualquer outro contrato entre o Cliente e a Aryaka. Este DPA complementa o Contrato. Este DPA prevalecerá em caso de qualquer inconsistência entre o Contrato e este DPA. Quaisquer outras disposições ou obrigações previstas no Contrato que não sejam afetadas por este DPA permanecerão em pleno vigor e efeito. Caso este DPA, ou quaisquer medidas a serem tomadas ou contempladas para o cumprimento deste DPA, não satisfaçam ou venham a não satisfazer as obrigações de qualquer das partes nos termos das leis aplicáveis a cada uma delas, as partes negociarão de boa-fé uma emenda apropriada a este DPA.
[Segue-se o Anexo I]
ANEXO I
A. LISTA DE PARTES
Exportador(es) de dados:
| Nome: | Consulte o Formulário de Pedido entre o Cliente e a Aryaka. |
| Endereço: | Consulte o Formulário de Pedido entre o Cliente e a Aryaka. |
| Nome, cargo e dados de contato da pessoa de contato: | Consulte o Formulário de Pedido entre o Cliente e a Aryaka. |
| Atividades relevantes para os dados transferidos nos termos destas Cláusulas: | Consulte o Contrato entre o Cliente e a Aryaka. |
| Função (responsável pelo tratamento/encargado do tratamento): | Controlador |
Importador(es) de dados:
| Nome: | Aryaka Networks, Inc. |
| Endereço: | 4699 Old Ironsides Drive, Sala 470, Santa Clara, CA 95054 |
| Nome, cargo e dados de contato da pessoa de contato: | Kurtis Berger, Diretor Sênior de TI e Segurança, privacyofficer@aryaka.com |
| Atividades relevantes para os dados transferidos nos termos destas Cláusulas: | Consulte o Contrato entre o Cliente e a Aryaka. |
| Função (controlador/processador): | Encarregado do tratamento |
B. DESCRIÇÃO DA TRANSFERÊNCIA
Categorias de titulares de dados cujos dados pessoais são transferidos:
- Indivíduos que englobam a equipe do Cliente, trabalhadores temporários, consultores e todos aqueles afiliados à força de trabalho do Cliente ou que utilizam o sistema e os serviços oferecidos.
- Os clientes, fornecedores, parceiros, prestadores de serviços e quaisquer terceiros do Cliente, dos quais este possa possuir Dados Pessoais.
Categorias de dados pessoais transferidos:
- Informações relativas aos usuários do Cliente, incluindo seus dados de contato (nome, endereço de e-mail, números de telefone dos representantes), ou quaisquer informações compartilhadas voluntariamente com a Aryaka por meio dos Serviços ou de canais alternativos.
- Metadados essenciais para a prestação de serviços adaptados ao ambiente específico do Cliente. Esses metadados abrangem atributos como detalhes do arquivo, tipo de arquivo, valores de hash, argumentos de linha de comando, dados de acesso à rede (incluindo endereços IP e protocolos) e informações relacionadas à rede (incluindo endereços IP da rede interna, endereços IP públicos e dados de URLs de sites).
Dados confidenciais transferidos (se for o caso) e restrições ou salvaguardas aplicadas que levem plenamente em consideração a natureza dos dados e os riscos envolvidos, tais como, por exemplo, limitação estrita da finalidade, restrições de acesso (incluindo acesso exclusivo a funcionários que tenham recebido treinamento especializado), manutenção de registro de acesso aos dados, restrições à transferência posterior ou medidas de segurança adicionais:
Nenhum. A Aryaka não exige nem processa intencionalmente dados pessoais confidenciais para prestar os Serviços. Caso o Cliente opte por encaminhar o tráfego de rede contendo dados confidenciais por meio dos serviços Secure Web Gateway ou Firewall, tais dados transitam exclusivamente em função da configuração do Cliente e não são acessados, armazenados nem utilizados pela Aryaka.
Frequência da transferência: Contínua
Natureza do tratamento:
O processamento consiste em: (a) aplicação de funções de segurança ao tráfego de rede; (b) coleta e processamento de metadados de rede (tais como endereços IP, protocolos, URLs e dados de conexão) para prestação de serviços, otimização de desempenho e suporte técnico; e (c) armazenamento temporário em cache e registro em log, conforme necessário do ponto de vista operacional para a prestação dos Serviços. O processamento é automatizado; a Aryaka não acessa o conteúdo das comunicações do Cliente, exceto quando necessário para executar as funções de segurança contratadas.
Finalidade(s) da transferência de dados e do tratamento posterior:
Prestação dos Serviços ao Cliente, em conformidade com o Contrato e o Pedido celebrados entre as partes.
O prazo durante o qual os dados pessoais serão conservados ou, caso isso não seja possível, os critérios utilizados para determinar esse prazo:
Os dados pessoais serão mantidos pelo período necessário à prestação dos Serviços previstos no Contrato, a menos que a legislação aplicável exija um período mais longo.
No caso de transferências para (sub)processadores, especifique também o objeto, a natureza e a duração do tratamento:
Consulte a descrição acima.
[Segue-se o Anexo II]
ANEXO II – MEDIDAS DE SEGURANÇA
A Aryaka mantém diversas políticas, normas e processos destinados a proteger os Dados Pessoais. A seguir, apresentamos uma descrição de algumas das principais medidas de segurança técnicas e organizacionais implementadas pela Aryaka.
Controles de acesso físico
A Aryaka implementa e mantém medidas destinadas a impedir que pessoas não autorizadas tenham acesso físico às instalações da Aryaka.
Controles técnicos de acesso
A Aryaka implementa e mantém medidas destinadas a impedir que pessoas não autorizadas obtenham acesso aos seus sistemas de processamento de dados, incluindo:
- Proteção híbrida contra negação de serviço distribuída (DDoS) integrando detecção e atenuação (no local ou na nuvem) com prevenção de ataques DDoS volumétricos baseados na nuvem e suporte da Equipe de Resposta a Emergências (ERT) 24×7; e
- Segurança de borda de rede que fornece soluções avançadas de segurança de perímetro integradas ao dispositivo de rede de área ampla definida por software (SD-WAN) do cliente.
Controles de acesso aos dados
A Aryaka implementa e mantém medidas destinadas a restringir o acesso ao seu sistema de processamento de dados às pessoas que necessitam desse acesso, dentro do escopo e na medida abrangidos por suas respectivas permissões de acesso (autorizações).
Controles de tarefas
A Aryaka implementa e mantém medidas destinadas a garantir que os Dados Pessoais tratados no âmbito da prestação dos Serviços ao Cliente sejam tratados exclusivamente de acordo com o Contrato.
Controles de disponibilidade
A Aryaka implementa e mantém medidas destinadas a proteger os Dados Pessoais contra a divulgação, a destruição acidental ou não autorizada e a perda.
[Segue-se o Anexo III]
ANEXO III – LISTA DE SUBPROCESSADORES
Salesforce:
Utilização: Gestão de Relacionamento com o Cliente
Local onde a instância está hospedada: Estados Unidos
Acessado por funcionários da Aryaka a partir dos seguintes países: Estados Unidos, Índia, Alemanha, Reino Unido, Canadá, Austrália, Japão, Países Baixos, Coreia do Sul e Suíça
NetSuite:
Utilização: Contabilidade
Local onde a instância está alojada: Estados Unidos
Acessado por funcionários da Aryaka a partir dos seguintes países: Estados Unidos e Índia
Zuora:
Utilização: Faturamento
Local onde a instância está hospedada: Estados Unidos
Acessado por funcionários da Aryaka a partir dos seguintes países: Estados Unidos e Índia
Marketo:
Utilização: Marketing e Comunicação
Local onde a instância está hospedada: Estados Unidos
Acessado por funcionários da Aryaka a partir dos seguintes países: Estados Unidos, Reino Unido e Índia
[Fim do Acordo e dos Anexos I a III]