Contrato de Tratamento de Dados

1.1. Este DPA reflete o acordo entre as partes a respeito do tratamento de dados pessoais pela ChakraHQ em nome do Controlador em conexão com o Serviço, de acordo com as leis de proteção de dados aplicáveis. O objeto do tratamento é a prestação do Serviço, e o tratamento será realizado durante a vigência do Contrato Principal de Assinatura subjacente. Este DPA se aplica somente na medida em que a ChakraHQ trate, em nome do Cliente, dados pessoais aos quais se aplique a legislação de proteção de dados pertinente (incluindo o GDPR, quando relevante).

2.1. Os termos em maiúscula não definidos neste DPA têm o significado que lhes é atribuído no Contrato Principal de Assinatura. Além disso:

• 2.1.1. "Dados Pessoais do Cliente" significa os dados pessoais que a ChakraHQ trata como Operador em nome do Cliente em conexão com o Serviço.
• 2.1.2. "Controlador" e "Operador" têm os significados atribuídos a esses termos pela legislação de proteção de dados aplicável (incluindo o GDPR).
• 2.1.3. "Violação de Segurança" significa uma violação de segurança que leve à destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilícito aos Dados Pessoais do Cliente.
• 2.1.4. "Cláusulas Contratuais Padrão" ou "CCPs" significa as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros, anexas à Decisão de Execução (UE) 2021/914 da Comissão Europeia e, quando aplicável, o Aditivo sobre Transferência Internacional de Dados do Reino Unido emitido pelo Information Commissioner’s Office do Reino Unido.
• 2.1.5. "Subprocessador" significa qualquer operador terceirizado contratado pela ChakraHQ ou suas Afiliadas para auxiliar no cumprimento das obrigações da ChakraHQ previstas no Contrato Mestre de Assinatura e que trate Dados Pessoais do Cliente.

3.1. A ChakraHQ tratará dados pessoais somente mediante instruções documentadas do Controlador, inclusive no que diz respeito às transferências de dados pessoais para um país terceiro, salvo quando exigido pela legislação aplicável — caso em que a ChakraHQ informará o Cliente sobre essa exigência legal antes do tratamento, a menos que a lei proíba essa informação por motivos importantes de interesse público. O objeto, a duração, a natureza e a finalidade do tratamento, bem como os tipos de dados pessoais e as categorias de titulares dos dados, estão descritos no Formulário de Pedido aplicável ou no Contrato Mestre de Assinatura.

4.1. O Cliente será responsável por garantir que: (a) todos os avisos tenham sido fornecidos e todas as autorizações necessárias tenham sido obtidas, conforme exigido pela legislação aplicável de proteção de dados, para que a ChakraHQ (e suas Afiliadas e Subprocessadores) trate os Dados Pessoais do Cliente conforme previsto no Contrato Mestre de Assinatura e neste DPA; (b) tenha cumprido e continue cumprindo todas as leis aplicáveis de privacidade e proteção de dados; e (c) tenha e continue tendo o direito de transferir ou fornecer acesso aos Dados Pessoais do Cliente à ChakraHQ para tratamento de acordo com este DPA. O Cliente garantirá que suas instruções de tratamento estejam em conformidade com a legislação aplicável de proteção de dados, e a ChakraHQ não será responsável por determinar quais leis se aplicam aos negócios do Cliente nem se o Serviço atende aos requisitos dessas leis.

5.1. A ChakraHQ garantirá que qualquer pessoa autorizada por ela a tratar Dados Pessoais do Cliente (incluindo seus funcionários, agentes e contratados) esteja sujeita a um dever de confidencialidade, seja por contrato ou obrigação legal, e trate os Dados Pessoais do Cliente somente para as Finalidades Permitidas descritas neste DPA e no Contrato Mestre de Assinatura.

6.1. A ChakraHQ garantirá que as pessoas autorizadas a tratar dados pessoais tenham assumido compromissos de confidencialidade, implementará medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco e auxiliará o Controlador a cumprir suas obrigações nos termos da legislação aplicável de proteção de dados, inclusive no que diz respeito às avaliações de impacto sobre a proteção de dados e às consultas prévias às autoridades de supervisão, às custas razoáveis do Cliente.

7.1. O Cliente concede autorização geral à ChakraHQ para contratar os Subprocessadores listados em nossa Lista de Subprocessadores, que poderá ser atualizada periodicamente. A ChakraHQ imporá a cada Subprocessador obrigações de proteção de dados não menos protetivas do que as estabelecidas neste DPA, restringirá o acesso do Subprocessador aos Dados Pessoais do Cliente ao estritamente necessário para prestar o Serviço e permanecerá responsável pelos atos e omissões de seus Subprocessadores.

7.2. A ChakraHQ notificará o Cliente com pelo menos 20 dias de antecedência antes de adicionar ou substituir um Subprocessador na Lista de Subprocessadores. Se o Cliente se opuser razoavelmente a um novo Subprocessador, por motivos relacionados à proteção dos Dados Pessoais do Cliente, dentro desse período de notificação, as partes envidarão esforços de boa-fé para encontrar uma solução alternativa; se não chegarem a uma solução em prazo razoável, o Cliente poderá rescindir o Serviço afetado.

8.1. Considerando a natureza do tratamento, a ChakraHQ auxiliará o Controlador, por meio de medidas técnicas e organizacionais apropriadas e na medida do possível, no cumprimento da obrigação do Controlador de responder às solicitações de exercício dos direitos dos titulares dos dados previstos na legislação aplicável de proteção de dados. Se tal solicitação for feita diretamente à ChakraHQ e esta puder identificar o Cliente como controlador dos dados do titular em questão, a ChakraHQ informará prontamente o Cliente, que será o único responsável por responder à solicitação.

9.1. A ChakraHQ implementa e mantém medidas técnicas e organizacionais de segurança apropriadas, destinadas a proteger os Dados Pessoais do Cliente contra destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilícito, incluindo a criptografia de dados em trânsito, controles de acesso que restringem o acesso aos Dados Pessoais do Cliente ao pessoal que precisa conhecê-los e a revisão periódica das permissões de acesso. A ChakraHQ poderá atualizar essas medidas ao longo do tempo, desde que qualquer atualização não resulte em uma degradação significativa da segurança geral do Serviço. Mais informações sobre as práticas de segurança da ChakraHQ estão disponíveis mediante solicitação, entrando em contato conosco pelos dados indicados na seção "Fale Conosco" abaixo.

10.1. Ao tomar conhecimento de uma Violação de Segurança que afete os Dados Pessoais do Cliente, a ChakraHQ notificará o Cliente sem demora injustificada e fornecerá as informações que o Cliente possa razoavelmente solicitar para que cumpra suas próprias obrigações de notificação de violações previstas na legislação aplicável de proteção de dados. A notificação ou resposta da ChakraHQ a uma Violação de Segurança não será interpretada como reconhecimento de culpa ou responsabilidade em relação à Violação de Segurança.

11.1. A Chakrasoft Private Limited está sediada na Índia. Quando a ChakraHQ ou seus Subprocessadores transferirem Dados Pessoais do Cliente para fora da jurisdição em que foram originalmente coletados, a ChakraHQ garantirá que essas transferências sejam realizadas em conformidade com a legislação aplicável de proteção de dados.

11.2. Quando a transferência de Dados Pessoais do Cliente pelo Cliente à ChakraHQ constituir uma "transferência restrita" nos termos do GDPR, do UK GDPR ou da Lei Federal Suíça de Proteção de Dados, as partes concordam que as Cláusulas Contratuais Padrão (Módulo Dois ou Módulo Três, quando o Cliente atuar como operador) serão incorporadas e integrarão este DPA, aplicando-se a essa transferência, com os detalhes do tratamento preenchidos conforme estabelecido no Formulário de Pedido aplicável e neste DPA. Na medida em que as Cláusulas Contratuais Padrão entrarem em conflito com qualquer outro termo deste DPA ou do Contrato Mestre de Assinatura, as Cláusulas Contratuais Padrão prevalecerão em relação à transferência abrangida por elas.

12.1. Mediante solicitação por escrito, e no máximo uma vez por ano, a ChakraHQ disponibilizará ao Controlador todas as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo Controlador ou por um auditor terceirizado mutuamente acordado, sujeitas a aviso prévio razoável, aos requisitos de confidencialidade da ChakraHQ e à limitação dos dados aos que sejam relevantes para o Cliente. Os custos da auditoria serão arcados pelo Cliente.

13.1. Após a rescisão ou o vencimento do Contrato Mestre de Assinatura, a ChakraHQ, a critério do Cliente, excluirá ou devolverá todos os Dados Pessoais do Cliente que estiverem em sua posse ou sob seu controle. O conteúdo de contas encerradas será excluído em até 60 dias a partir da data do encerramento, e as cópias de segurança arquivadas nos servidores que contenham Dados Pessoais do Cliente serão mantidas por mais 90 dias antes da exclusão, exceto na medida em que a legislação aplicável exigir que a ChakraHQ retenha alguns ou todos os Dados Pessoais do Cliente; nesse caso, a ChakraHQ isolará esses dados com segurança de qualquer tratamento adicional até que seja possível excluí-los.

14.1. A responsabilidade de cada parte decorrente deste DPA ou a ele relacionada está sujeita às limitações de responsabilidade estabelecidas no Acordo Mestre de Assinatura, regido pelas leis da Índia. Nada neste DPA restringe ou limita os direitos de qualquer titular de dados ou autoridade supervisora competente.

15.1. Em caso de conflito entre o Acordo Mestre de Assinatura e este DPA, os termos deste DPA prevalecerão no que diz respeito às obrigações das partes relativas à proteção de dados. Na medida em que houver qualquer conflito entre as Cláusulas Contratuais Padrão e qualquer outro termo deste DPA ou do Acordo Mestre de Assinatura, as Cláusulas Contratuais Padrão prevalecerão.

16.1. Para esclarecer dúvidas sobre este DPA, contestar a inclusão de um novo Subprocessador ou solicitar uma cópia assinada, entre em contato conosco pelo endereço legal@chakrahq.com.