Adendo de Tratamento de Dados — Modelo

Fase piloto. O SGC encontra-se em fase piloto e de validação operacional, podendo ser utilizado em ambientes reais por usuários e organizações autorizadas. Essa condição permite aperfeiçoamentos, modificações ou substituições de funcionalidades, sem reduzir o compromisso com segurança, privacidade, integridade dos dados e a legislação aplicável.

Documento de referência: este texto não substitui instrumento específico entre as partes. Quando necessário, as condições aplicáveis devem ser formalizadas de acordo com a operação e a legislação.

Este Adendo de Tratamento de Dados (“Adendo”) estabelece parâmetros para situações em que uma organização cliente determina as finalidades e os meios essenciais do tratamento de dados pessoais realizado por meio do SGC e o responsável pelo SGC processa esses dados em nome da organização.

1. Natureza e precedência

O Adendo somente produzirá efeitos contratuais quando for expressamente incorporado ou referenciado em instrumento firmado entre as partes. Em caso de conflito, o contrato principal e este Adendo deverão indicar qual disposição prevalece para o assunto específico.

2. Papéis das partes

A organização cliente poderá atuar como controladora dos dados pessoais inseridos em seu ambiente. O responsável pelo SGC poderá atuar como operador ao processar esses dados conforme instruções documentadas da organização. Cada parte continuará responsável pelos tratamentos em que atuar como controladora independente.

3. Instruções e finalidade

o operador tratará os dados para prestar, manter, proteger e dar suporte ao serviço contratado;
instruções adicionais deverão ser lícitas, documentadas e tecnicamente compatíveis com o serviço;
o controlador é responsável por definir base legal, transparência, minimização e legitimidade dos dados inseridos;
o operador deverá informar quando entender que uma instrução viola legislação aplicável, ressalvadas limitações legais de comunicação.

4. Segurança e confidencialidade

As partes deverão aplicar medidas técnicas e administrativas proporcionais aos riscos e limitar o acesso a pessoas autorizadas e sujeitas a dever de confidencialidade. O conjunto exato de controles deverá ser compatível com a arquitetura e o ambiente efetivamente utilizados.

5. Suboperadores

O operador poderá utilizar fornecedores necessários à prestação do serviço, observadas as obrigações contratuais de proteção de dados. A lista operacional deve ser mantida em Subprocessadores e Fornecedores. O contrato poderá prever mecanismo de aviso prévio para alterações relevantes.

6. Solicitações de titulares

Quando receber pedido relativo a dados sob controle da organização, o operador poderá encaminhá-lo ao controlador e oferecer assistência tecnicamente razoável para localização, exportação, correção, bloqueio ou eliminação, conforme o caso e os limites contratados.

7. Incidentes de segurança

O operador deverá comunicar ao controlador incidentes confirmados envolvendo dados processados em seu nome sem demora injustificada, fornecendo as informações disponíveis necessárias para avaliação do evento. As responsabilidades por comunicação à ANPD e aos titulares deverão observar a LGPD, a regulamentação vigente e o papel de cada parte.

8. Transferências internacionais

Quando houver transferência internacional, as partes deverão utilizar mecanismo válido segundo a LGPD e regulamentação da ANPD. A localização dos fornecedores deve ser refletida na lista de subprocessadores e na documentação contratual pertinente.

9. Término do serviço

Ao término da prestação, dados tratados por conta do controlador deverão ser devolvidos, exportados, eliminados ou mantidos de forma restrita conforme as condições contratuais, possibilidades técnicas e obrigações legais aplicáveis.

Responsável pelo SGC: , pessoa física, Brasil.

Tratamento de Dados entre organizações