Este Acordo de Processamento de Dados ("DPA") faz parte do acordo que rege o uso da Plataforma e dos Serviços KWIGA, incluindo os Termos e Condições da KWIGA (o "Acordo"), entre:
TUTERIA VCC, com sede registada em 17A Vrabcha Street, Floor 1, Apt 3, 1000 Sofia, Bulgária ("KWIGA", "TUTERIA", "nós", "nos" ou o "Subcontratante"),
e
a pessoa singular, empresa, organização, escola, Especialista, criador de cursos ou outra entidade que utiliza os Serviços KWIGA e determina as finalidades e os meios de tratamento de dados pessoais através da Plataforma KWIGA (o "Cliente", "Utilizador da Plataforma" ou "Responsável pelo Tratamento").
Este DPA aplica-se quando e na medida em que a TUTERIA VCC trata Dados Pessoais em nome do Cliente no âmbito da prestação dos Serviços KWIGA.
Este DPA complementa o Acordo e deve ser interpretado em conjunto com a Política de Privacidade da KWIGA e outros documentos contratuais aplicáveis.
Para efeitos deste DPA:
"Leis de Proteção de Dados Aplicáveis" significa todas as leis de proteção de dados e privacidade aplicáveis ao tratamento de Dados Pessoais ao abrigo deste DPA, incluindo, quando aplicável, o Regulamento (UE) 2016/679 ("RGPD").
"Responsável pelo Tratamento", "Subcontratante", "Titular dos Dados", "Dados Pessoais", "Tratamento", "Violação de Dados Pessoais" e "Autoridade de Controlo" têm os significados que lhes são atribuídos pelo RGPD ou por outras Leis de Proteção de Dados Aplicáveis.
"Cliente" significa o Utilizador da Plataforma que utiliza os Serviços KWIGA e determina as finalidades e os meios de Tratamento dos Dados de Serviço.
"Dados de Serviço" significa os Dados Pessoais carregados, recolhidos, gerados ou de outra forma tratados através da Plataforma KWIGA pelo Cliente ou em seu nome, no âmbito da utilização dos Serviços.
Os Dados de Serviço podem incluir Dados Pessoais tratados através do CRM, LMS, cursos, programas educativos, funcionalidades de gestão de estudantes e clientes, ferramentas de comunicação, automatizações, avaliações e outras funcionalidades da Plataforma utilizadas pelo Cliente.
"Subcontratante Posterior" significa um terceiro contratado pela KWIGA para Tratar os Dados de Serviço em nome do Cliente.
Quando o Cliente determina as finalidades e os meios de Tratamento dos Dados de Serviço, o Cliente atua como Responsável pelo Tratamento desses Dados Pessoais.
O Cliente é responsável pelas suas atividades de Tratamento e pelo cumprimento das obrigações aplicáveis aos Responsáveis pelo Tratamento ao abrigo das Leis de Proteção de Dados Aplicáveis.
Quando a TUTERIA VCC Trata Dados de Serviço em nome do Cliente e de acordo com as instruções do Cliente, a TUTERIA VCC atua como Subcontratante.
A TUTERIA VCC deve Tratar esses Dados de Serviço de acordo com este DPA, o Acordo, as instruções documentadas do Cliente e as Leis de Proteção de Dados Aplicáveis.
Determinadas atividades de Tratamento podem ser realizadas pela TUTERIA VCC para finalidades determinadas de forma independente pela TUTERIA VCC.
Tais finalidades podem incluir, conforme aplicável:
administração e operação da Plataforma KWIGA;
segurança e integridade da Plataforma;
prevenção de fraudes e abusos;
deteção e investigação de acessos não autorizados e incidentes de segurança;
cumprimento de obrigações legais ou regulamentares;
gestão das próprias relações contratuais da TUTERIA VCC;
propositura, exercício ou defesa de reivindicações judiciais; e
outras finalidades descritas na Política de Privacidade da KWIGA.
Quando a TUTERIA VCC determinar de forma independente as finalidades e os meios desse Tratamento, a TUTERIA VCC atua como Controladora independente em relação a esse Tratamento.
Tal Tratamento é regido pela Política de Privacidade da KWIGA e pelas Leis Aplicáveis de Proteção de Dados e não constitui Tratamento realizado pela TUTERIA VCC como Operadora nos termos deste DPA.
O facto de o Cliente e a TUTERIA VCC poderem Tratar determinadas informações relativas ao mesmo Titular dos Dados não significa, por si só, que as partes atuem como controladoras conjuntas.
A função de cada parte será determinada com referência às finalidades e aos meios da atividade de Tratamento relevante.
O Cliente deverá cumprir as Leis Aplicáveis de Proteção de Dados em relação à sua recolha, utilização, divulgação e outro Tratamento dos Dados do Serviço.
O Cliente é responsável por garantir que:
a. possui uma base jurídica adequada para o Tratamento dos Dados do Serviço;
b. os Dados do Serviço foram recolhidos legalmente;
c. os Dados do Serviço são legalmente divulgados ou de outra forma disponibilizados à KWIGA para Tratamento;
d. os Titulares dos Dados recebem quaisquer avisos de privacidade e informações exigidos pelas Leis Aplicáveis de Proteção de Dados;
e. qualquer consentimento necessário para as atividades de Tratamento do Cliente foi validamente obtido;
f. as instruções do Cliente à KWIGA cumprem as Leis Aplicáveis de Proteção de Dados;
g. o Cliente trata apenas os Dados Pessoais necessários para as suas finalidades legítimas e legais; e
h. são estabelecidos períodos de retenção adequados para os Dados do Serviço sob o controlo do Cliente.
O Cliente não deverá utilizar os Serviços para recolher ou Tratar Categorias Especiais de Dados Pessoais na aceção do Artigo 9.º do RGPD, salvo se o Cliente tiver estabelecido uma base jurídica válida e, quando exigido, uma condição aplicável nos termos do Artigo 9.º do RGPD para tal Tratamento.
Quando o Cliente utiliza questionários, formulários, campos personalizados, conteúdo carregado ou outras funcionalidades dos Serviços para recolher ou Tratar tais dados, o Cliente atua como Controlador e é responsável por determinar a licitude, as finalidades e o âmbito desse Tratamento, fornecer quaisquer informações exigidas aos Titulares dos Dados, obter consentimento explícito quando se basear no consentimento e cumprir todos os outros requisitos aplicáveis das Leis Aplicáveis de Proteção de Dados.
A KWIGA Trata esses Dados do Serviço em nome do Cliente e de acordo com as instruções documentadas do Cliente e este DPA.
O Cliente instrui a KWIGA a Tratar os Dados do Serviço conforme necessário para:
prestar os Serviços selecionados e configurados pelo Cliente;
alojar e manter os Dados do Serviço;
fornecer funcionalidades de CRM, LMS e outras funcionalidades da Plataforma;
fornecer acesso a cursos e outros produtos;
administrar as funcionalidades selecionadas pelo Cliente;
prestar suporte técnico;
manter e proteger os Serviços; e
de outra forma executar o Contrato e as instruções documentadas do Cliente.
A utilização e configuração da Plataforma KWIGA pelo Cliente, incluindo as definições, ações e funcionalidades ativadas pelo Cliente, bem como a criação e publicação pelo Cliente de páginas web, formulários, notificações e outros materiais através da Plataforma, podem ser consideradas instruções documentadas para efeitos do presente DPA.
O Cliente determina de forma independente o conteúdo da sua Política de Privacidade, dos avisos de privacidade, formulários e outros materiais disponibilizados aos Titulares dos Dados através da Plataforma e é responsável por assegurar que estes estejam em conformidade com a Legislação Aplicável em matéria de Proteção de Dados e com o tratamento efetivo dos dados pessoais do Cliente. A KWIGA não é obrigada a verificar ou aprovar o conteúdo desses materiais.
Se a KWIGA considerar razoavelmente que uma instrução do Cliente viola as Leis de Proteção de Dados Aplicáveis, a KWIGA informará o Cliente sem demora injustificada.
A KWIGA poderá suspender o Tratamento relevante na medida razoavelmente necessária até que a instrução seja alterada, esclarecida ou confirmada como lícita.
A KWIGA tratará os Dados de Serviço somente mediante instruções documentadas do Cliente, salvo se o Tratamento for exigido pela legislação aplicável da União ou de um Estado-Membro.
Quando a KWIGA for obrigada por lei a Tratar Dados de Serviço de outra forma que não conforme as instruções do Cliente, a KWIGA informará o Cliente sobre essa exigência legal antes do Tratamento, salvo se a lei proibir tal informação por motivos importantes de interesse público.
A KWIGA garantirá que as pessoas autorizadas a Tratar Dados de Serviço:
Tratem esses dados somente conforme necessário para o desempenho de suas funções;
estejam sujeitas a obrigações de confidencialidade adequadas; e
recebam acesso somente quando razoavelmente necessário.
A KWIGA implementará medidas técnicas e organizacionais adequadas destinadas a proteger os Dados de Serviço de acordo com a Seção 7 e o Apêndice B deste DPA.
Levando em consideração a natureza do Tratamento e as informações disponíveis para a KWIGA, a KWIGA prestará assistência razoável ao Cliente no cumprimento de suas obrigações nos termos das Leis de Proteção de Dados Aplicáveis, incluindo obrigações relacionadas a:
solicitações dos Titulares dos Dados;
segurança do Tratamento;
Violações de Dados Pessoais;
avaliações de impacto sobre a proteção de dados; e
consultas com Autoridades de Supervisão, quando aplicável.
A KWIGA manterá registros e informações relacionados às suas atividades de Tratamento na medida exigida pelas Leis de Proteção de Dados Aplicáveis.
O Cliente, como Controlador, é o principal responsável por responder a solicitações dos Titulares dos Dados relacionadas aos Dados de Serviço Tratados pela KWIGA em nome do Cliente.
A KWIGA fornece ao Cliente funcionalidades e/ou mecanismos adequados para acessar, gerenciar e exportar Dados de Serviço sob o controle do Cliente e, quando suportado pela funcionalidade relevante, corrigir ou excluir tais Dados de Serviço, sujeito aos requisitos legais aplicáveis.
Levando em consideração a natureza do Tratamento, a KWIGA prestará assistência razoável ao Cliente por meio de medidas técnicas e organizacionais adequadas, na medida do possível, para o cumprimento das obrigações do Cliente de responder a solicitações dos Titulares dos Dados.
Se a KWIGA receber uma solicitação de um Titular dos Dados relacionada principalmente a Dados de Serviço dos quais o Cliente é o Controlador, a KWIGA poderá encaminhar o Titular dos Dados ao Cliente e, quando apropriado, informar o Cliente sobre a solicitação.
A KWIGA não responderá de forma independente a tal solicitação em nome do Cliente, salvo se:
instruída pelo Cliente;
permitido nos termos do Contrato; ou
exigido pela legislação aplicável.
Ao aceitar o presente DPA, o Cliente fornece à KWIGA uma instrução documentada permanente para tratar e, quando aplicável, eliminar ou anonimizar os Dados do Serviço em resposta a pedidos de apagamento apresentados pelos Titulares dos Dados.
Quando a KWIGA receber um pedido de um Titular dos Dados relativo aos Dados do Serviço relativamente aos quais o Cliente atua como Responsável pelo Tratamento, a KWIGA notificará o Cliente desse pedido e dar-lhe-á a oportunidade de fornecer instruções documentadas adicionais ou contrárias à instrução inicial.
Se o Cliente não fornecer instruções documentadas contrárias à instrução inicial no prazo de catorze (14) dias de calendário a contar da data da notificação da KWIGA, a KWIGA fica autorizada e instruída a proceder à eliminação ou anonimização dos Dados do Serviço relevantes, em conformidade com o presente DPA e a Legislação Aplicável em matéria de Proteção de Dados. O prazo de catorze (14) dias de calendário constitui um prazo contratual para o Cliente fornecer instruções à KWIGA e não estabelece nem altera quaisquer prazos legais aplicáveis ao Cliente ou à KWIGA ao abrigo da Legislação Aplicável em matéria de Proteção de Dados, incluindo o RGPD, a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act), conforme alterada, ou a Lei de Privacidade e Segurança de Dados do Texas (Texas Data Privacy and Security Act).
A KWIGA poderá proceder a essa eliminação ou anonimização, salvo se o Cliente tiver fornecido instruções documentadas contrárias à instrução inicial dentro do prazo aplicável de catorze (14) dias de calendário. Os Dados Pessoais não serão eliminados nem anonimizados na medida em que a sua conservação ou tratamento continuados sejam exigidos pela Legislação Aplicável em matéria de Proteção de Dados ou pelo presente DPA.
O Cliente, como Controlador, é responsável por determinar períodos de retenção adequados para os Dados de Serviço Tratados para fins determinados pelo Cliente, sujeito aos acordos de retenção e exclusão estabelecidos neste DPA e no Contrato.
Podem ser aplicados diferentes períodos de conservação aos Dados do Serviço, dependendo da natureza e da finalidade dos dados em questão e da funcionalidade através da qual esses dados são Tratados.
Após a cessação ou expiração da subscrição do Cliente, os Dados do Serviço relativos ao respetivo Cliente podem ser conservados por um período de até noventa (90) dias a contar da data de término do período de subscrição do Cliente, a fim de permitir a reativação, a recuperação de dados e a cessação ordenada da utilização dos Serviços.
Após o termo do referido período de 90 dias, a respetiva conta e/ou escola pode ser desativada, ocultada ou de outra forma tornada inacessível através da interface normal da Plataforma KWIGA, sem eliminar ou alterar os Dados do Serviço nela contidos.
Os respetivos Dados do Serviço podem ser conservados por um período adicional de até noventa (90) dias para permitir a sua restauração, resolver questões técnicas ou contratuais e assegurar a conclusão ordenada da prestação dos Serviços.
Após o termo de um período total de cento e oitenta (180) dias a contar da cessação ou expiração da subscrição, os respetivos Dados do Serviço serão eliminados dos sistemas ativos da Plataforma KWIGA de acordo com os procedimentos aplicáveis de conservação e eliminação de dados.
O procedimento acima descrito aplica-se sujeito às instruções documentadas do respetivo Responsável pelo Tratamento, ao presente DPA e às Leis Aplicáveis de Proteção de Dados. Não se aplica aos Dados Pessoais que a TUTERIA VCC Trate de forma independente e lícita na qualidade de Responsável pelo Tratamento independente, nos termos da Secção 5.7.
Os Dados de Serviço são geralmente retidos durante o uso, pelo Cliente, dos Serviços KWIGA relevantes e de acordo com:
as instruções documentadas do Cliente;
este DPA;
o Contrato; e
Leis de Proteção de Dados Aplicáveis.
Nada nesta Seção exime o Cliente de sua responsabilidade, na qualidade de Controlador, de determinar se determinados Dados de Serviço continuam necessários e devem continuar a ser retidos.
A KWIGA fornece ao Cliente funcionalidades e/ou mecanismos adequados para acessar, gerenciar e exportar Dados de Serviço sob o controle do Cliente e, quando compatível com a funcionalidade relevante, excluir tais Dados de Serviço, sujeito aos requisitos legais aplicáveis.
Quando o Cliente eliminar manualmente um contacto ou outros Dados do Serviço através da Plataforma KWIGA, os dados relevantes serão inicialmente objeto de eliminação lógica (soft deletion) e permanecerão recuperáveis por um período de até trinta (30) dias a contar da data da eliminação. Após este período, os Dados Pessoais relevantes serão permanentemente eliminados dos sistemas ativos da Plataforma KWIGA, sem prejuízo dos requisitos legais aplicáveis e da conservação dos dados que o Subcontratante esteja legalmente autorizado ou obrigado a conservar.
Após a cessação ou expiração da subscrição do Cliente, os Dados do Serviço podem ser conservados de acordo com os períodos e condições estabelecidos na Secção 5.2.
Durante os primeiros noventa (90) dias, pode ser proporcionada ao Cliente uma oportunidade razoável para recuperar ou exportar os Dados do Serviço, tendo em conta a funcionalidade dos respetivos Serviços.
Após o termo deste período, a respetiva conta e/ou escola pode ser desativada, ocultada ou tornada inacessível através da interface normal da Plataforma KWIGA. Os Dados do Serviço podem ser conservados por um período adicional de até noventa (90) dias, de acordo com a Secção 5.2.
Após o termo de um período total de cento e oitenta (180) dias a contar da cessação ou expiração da subscrição, os respetivos Dados do Serviço serão eliminados dos sistemas ativos da Plataforma KWIGA de acordo com os procedimentos de eliminação aplicáveis, o presente DPA, as instruções documentadas do Responsável pelo Tratamento e as Leis Aplicáveis de Proteção de Dados.
Quando os Dados de Serviço permanecerem temporariamente em sistemas de backup, recuperação de desastres ou sistemas semelhantes após a exclusão dos sistemas ativos, tais dados permanecerão sujeitos a medidas de segurança adequadas e não serão restaurados nem utilizados para o Processamento comum, exceto quando necessário para recuperação de desastres, segurança, conformidade legal ou outras finalidades técnicas legítimas.
Tais cópias serão excluídas ou sobrescritas de acordo com os procedimentos de retenção de backup aplicáveis da KWIGA.
Quando os Dados do Serviço forem eliminados manualmente pelo Cliente e, posteriormente, eliminados de forma permanente dos sistemas ativos, cópias desses dados poderão permanecer nos sistemas de cópia de segurança criados antes da eliminação permanente por um período adicional de até sete (7) dias. Após este período, essas cópias serão eliminadas ou substituídas de acordo com os procedimentos aplicáveis de conservação de cópias de segurança.
Esta Seção aplica-se aos Dados de Serviço Processados pela TUTERIA VCC como Operadora.
Ela não exige que a TUTERIA VCC exclua Dados Pessoais que a TUTERIA VCC Processa de forma independente e lícita em sua capacidade de Controladora.
Tais dados poderão ser retidos quando necessário para as finalidades descritas na Política de Privacidade e de acordo com as Leis de Proteção de Dados Aplicáveis.
O Cliente fornece autorização geral para que a KWIGA contrate Suboperadores quando razoavelmente necessário para a prestação, manutenção, suporte, operação ou segurança dos Serviços da KWIGA.
Antes de permitir que um Suboperador Processe Dados de Serviço, a KWIGA garantirá que o Suboperador esteja sujeito a obrigações contratuais de proteção de dados que forneçam um nível adequado de proteção aos Dados de Serviço e cumpram os requisitos aplicáveis aos suboperadores nos termos das Leis de Proteção de Dados Aplicáveis.
A KWIGA permanecerá responsável pelo cumprimento de suas obrigações de proteção de dados por seus Suboperadores, na medida exigida pelas Leis de Proteção de Dados Aplicáveis.
A KWIGA disponibilizará aos Clientes informações sobre os Suboperadores relevantes por meio de um mecanismo adequado.
Quando exigido pelas Leis de Proteção de Dados Aplicáveis, a KWIGA fornecerá aviso prévio razoável sobre alterações materiais pretendidas relacionadas à inclusão ou substituição de Suboperadores.
O Cliente poderá apresentar objeções razoáveis relacionadas especificamente a preocupações de proteção de dados decorrentes do Suboperador proposto.
As partes trabalharão de boa-fé para resolver qualquer objeção razoável desse tipo.
Quando um Cliente ativa ou conecta de forma independente uma integração de terceiros usando sua própria conta, credenciais ou chaves de API, a TUTERIA processa e transmite Dados de Serviço a esse terceiro mediante as instruções documentadas do Cliente.
O Cliente é responsável por determinar se o uso de tal serviço de terceiros está em conformidade com as Leis de Proteção de Dados Aplicáveis, incluindo o estabelecimento de quaisquer acordos contratuais exigidos e salvaguardas para transferências internacionais de dados com esse terceiro.
Levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do Processamento, bem como os riscos de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas, a KWIGA implementará e manterá medidas técnicas e organizacionais adequadas destinadas a garantir um nível de segurança apropriado ao risco.
Dependendo da natureza e dos riscos do Processamento relevante, tais medidas poderão incluir:
a. mecanismos de controle de acesso e autorização;
b. medidas destinadas a manter a separação e a autorização adequadas entre os ambientes e dados dos Clientes;
c. medidas de autenticação e gestão de acesso;
d. registro e monitoramento;
e. medidas concebidas para detetar atividades suspeitas, abusos e acessos não autorizados;
f. controlos de tráfego e de pedidos, incluindo controlos de taxa, quando adequado;
g. gestão de vulnerabilidades;
h. testes de segurança;
i. procedimentos de deteção e resposta a incidentes;
j. medidas de cópia de segurança e recuperação;
k. controlos relativos ao acesso por contratantes, prestadores de serviços e outras pessoas autorizadas;
l. procedimentos para a revisão de eventos e incidentes de segurança; e
m. revisão e testes periódicos dos controlos técnicos e organizacionais de segurança relevantes.
Informações adicionais sobre as categorias de medidas técnicas e organizacionais implementadas pela KWIGA estão estabelecidas no Apêndice B.
A KWIGA pode atualizar as suas medidas técnicas e organizacionais periodicamente para refletir:
desenvolvimentos tecnológicos;
riscos identificados;
alterações aos Serviços;
resultados de revisões de segurança;
incidentes de segurança; e
alterações à legislação aplicável.
Tais alterações não deverão reduzir materialmente o nível geral de proteção proporcionado aos Dados do Serviço.
A KWIGA deverá notificar o Cliente sem demora injustificada após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados do Serviço Tratados pela KWIGA em nome do Cliente.
Na medida em que as informações relevantes estejam razoavelmente disponíveis para a KWIGA, a notificação deverá incluir:
a. uma descrição da natureza da Violação de Dados Pessoais;
b. as categorias de Dados Pessoais afetados;
c. as categorias de Titulares dos Dados afetados;
d. o número aproximado de Titulares dos Dados afetados, quando conhecido;
e. o número aproximado de registos de Dados Pessoais afetados, quando conhecido;
f. as consequências prováveis da Violação de Dados Pessoais, quando possam ser razoavelmente determinadas;
g. as medidas tomadas ou propostas para conter, investigar e corrigir a Violação de Dados Pessoais; e
h. os dados de contacto ou outro canal de contacto adequado através do qual possam ser obtidas informações adicionais.
Quando nem todas as informações relevantes estiverem disponíveis no momento da notificação inicial, a KWIGA poderá fornecer inicialmente as informações disponíveis e complementá-las por fases à medida que a investigação avança.
A KWIGA deverá tomar medidas adequadas para:
investigar o incidente;
identificar a sua natureza e âmbito;
conter o incidente;
mitigar efeitos adversos razoavelmente previsíveis;
preservar evidências relevantes;
corrigir vulnerabilidades identificadas, quando apropriado; e
tomar medidas razoáveis destinadas a reduzir o risco de recorrência.
Tendo em conta a natureza do Tratamento e as informações disponíveis à KWIGA, a KWIGA prestará assistência razoável ao Cliente no cumprimento das obrigações aplicáveis relativas a:
notificação a uma Autoridade de Controlo;
comunicação com os Titulares dos Dados afetados;
avaliação dos riscos para os direitos e liberdades dos indivíduos; e
documentação da Violação de Dados Pessoais.
O Cliente continua responsável, na sua qualidade de Responsável pelo Tratamento, por determinar se uma Violação de Dados Pessoais que afete os Dados do Serviço requer:
notificação a uma Autoridade de Controlo;
comunicação aos Titulares dos Dados afetados; ou
outra ação exigida pelas Leis Aplicáveis de Proteção de Dados.
Isto não afeta quaisquer obrigações legais independentes da TUTERIA VCC relativas a Dados Pessoais para os quais a TUTERIA VCC atua como Responsável pelo Tratamento.
A notificação ou cooperação em relação a uma Violação de Dados Pessoais não constituirá, por si só, uma admissão de culpa ou responsabilidade por qualquer das partes.
Quando os Dados do Serviço são Tratados no Espaço Económico Europeu (“EEE”), esse Tratamento não constitui uma transferência para um país terceiro para efeitos do Capítulo V do RGPD.
Quando a KWIGA ou um Subcontratante autorizado transfere Dados do Serviço para fora do EEE para uma jurisdição que não tenha sido reconhecida como proporcionando um nível adequado de proteção ao abrigo da lei aplicável, a KWIGA assegurará a implementação de um mecanismo de transferência adequado, quando necessário.
Tais mecanismos podem incluir:
uma decisão de adequação adotada pela Comissão Europeia;
Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia;
Regras Vinculativas aplicáveis às Empresas, quando aplicável; ou
outro mecanismo de transferência lícito reconhecido pelas Leis Aplicáveis de Proteção de Dados.
Quando exigido pelas Leis Aplicáveis de Proteção de Dados, a KWIGA implementará medidas suplementares adequadas à transferência relevante e aos riscos associados.
A KWIGA fornecerá informações razoáveis sobre as garantias aplicáveis às transferências internacionais, mediante solicitação do Cliente, quando exigido pelas Leis Aplicáveis de Proteção de Dados.
A KWIGA disponibilizará ao Cliente as informações razoavelmente necessárias para demonstrar a conformidade com as obrigações da KWIGA como Subcontratante ao abrigo das Leis Aplicáveis de Proteção de Dados.
Mediante solicitação escrita razoável, a KWIGA fornecerá informações relevantes relativas a:
o seu Tratamento dos Dados do Serviço;
medidas técnicas e organizacionais aplicáveis;
Subcontratantes relevantes; e
outros assuntos razoavelmente necessários para o Cliente avaliar a conformidade da KWIGA com este Acordo de Tratamento de Dados.
Quando as informações disponibilizadas pela KWIGA não forem razoavelmente suficientes para demonstrar a conformidade e quando uma auditoria for exigida pelas Leis Aplicáveis de Proteção de Dados, a KWIGA permitirá e contribuirá para auditorias ou inspeções razoáveis relativas ao Tratamento dos Dados do Serviço.
Salvo se exigido de outro modo por uma Autoridade de Controlo ou pelas Leis Aplicáveis de Proteção de Dados, o Cliente deverá:
fornecer aviso prévio escrito razoável de uma auditoria;
limitar a auditoria a assuntos relevantes para o Tratamento ao abrigo deste Acordo de Tratamento de Dados;
realizar a auditoria durante o horário normal de expediente, quando razoavelmente possível;
evitar perturbações desnecessárias nas operações da KWIGA; e
garantir que os auditores estejam sujeitos a obrigações de confidencialidade adequadas.
Uma auditoria não dará ao Cliente ou ao seu auditor o direito de acessar:
Dados Pessoais pertencentes a outro Cliente;
informações confidenciais de outro Cliente;
informações que comprometeriam a segurança dos sistemas da KWIGA;
código-fonte ou outra propriedade intelectual protegida, exceto quando especificamente exigido pela legislação aplicável; ou
informações não relacionadas às atividades de Tratamento do Cliente.
As partes cooperarão de boa-fé em relação a solicitações razoáveis de auditoria feitas por Autoridades de Supervisão competentes.
Levando em consideração a natureza do Tratamento e as informações disponíveis para a KWIGA, a KWIGA fornecerá assistência razoável ao Cliente com avaliações de impacto sobre a proteção de dados quando o Cliente for obrigado a realizar tal avaliação nos termos das Leis Aplicáveis de Proteção de Dados.
Quando exigido pelas Leis Aplicáveis de Proteção de Dados, a KWIGA fornecerá assistência razoável relacionada à consulta prévia com uma Autoridade de Supervisão competente a respeito do Tratamento realizado por meio dos Serviços.
Cada parte protegerá os Dados Pessoais e as informações confidenciais recebidas em conexão com este DPA contra divulgação não autorizada.
A KWIGA garantirá que contratados, prestadores de serviços e outras pessoas autorizadas a Tratar Dados de Serviço estejam sujeitos a obrigações de confidencialidade adequadas ou a um dever legal de confidencialidade aplicável.
O Cliente garantirá que as credenciais, os direitos de acesso e as funcionalidades administrativas disponibilizadas por meio da Plataforma KWIGA sejam utilizados apenas por pessoas devidamente autorizadas.
Cada parte manterá registros relativos às suas atividades de Tratamento, na medida exigida pelas Leis Aplicáveis de Proteção de Dados.
As partes cooperarão razoavelmente entre si quando necessário para responder a solicitações legais de Autoridades de Supervisão relacionadas ao Tratamento regido por este DPA.
Nada neste DPA exige que qualquer uma das partes divulgue informações quando a divulgação for proibida pela legislação aplicável.
Cada parte será responsável por sua própria conformidade com as Leis Aplicáveis de Proteção de Dados e pelas obrigações a ela atribuídas nos termos deste DPA.
A responsabilidade entre as partes decorrente deste DPA ou a ele relacionada estará sujeita às limitações e exclusões de responsabilidade contidas no Contrato, na medida permitida pelas Leis Aplicáveis de Proteção de Dados.
Nada neste DPA exclui ou limita a responsabilidade quando tal exclusão ou limitação for proibida pela legislação aplicável.
Este DPA entra em vigor quando o Cliente se vincula ao Contrato e a KWIGA começa a Tratar Dados de Serviço em nome do Cliente.
Este DPA permanece em vigor enquanto a KWIGA Tratar Dados de Serviço em nome do Cliente.
A rescisão ou o término do Contrato não afeta as disposições deste DPA que, por sua natureza, se destinam a sobreviver à rescisão, incluindo disposições relativas à confidencialidade, exclusão ou devolução de Dados de Serviço, responsabilidade e legislação aplicável.
Este DPA faz parte do Contrato entre o Cliente e a TUTERIA VCC que rege o uso dos Serviços KWIGA.
Em caso de conflito entre este DPA e outra disposição do Contrato relativa ao Tratamento de Dados de Serviço pela TUTERIA VCC na qualidade de Operadora, este DPA prevalecerá em relação à questão conflitante de proteção de dados.
A KWIGA Política de Privacidade rege as atividades de Tratamento para as quais a TUTERIA VCC atua como Controladora.
Este DPA rege o Tratamento de Dados de Serviço realizado pela TUTERIA VCC em nome do Cliente na qualidade de Operadora.
Este DPA será regido pela legislação aplicável ao Contrato entre o Cliente e a TUTERIA VCC, sem prejuízo das disposições obrigatórias das Leis Aplicáveis de Proteção de Dados.
Nada neste DPA limita a aplicação do RGPD ou os poderes e a jurisdição de uma Autoridade de Supervisão competente quando tal legislação ou jurisdição se aplicar.
A KWIGA poderá atualizar este DPA quando razoavelmente necessário para:
cumprir alterações nas Leis Aplicáveis de Proteção de Dados;
refletir alterações nos Serviços KWIGA;
atualizar medidas técnicas ou organizacionais;
atualizar os acordos de Tratamento; ou
esclarecer os direitos e obrigações das partes.
Quando uma alteração afetar materialmente o Tratamento dos Dados de Serviço ou os direitos e obrigações de proteção de dados do Cliente, a KWIGA fornecerá um aviso razoável quando exigido pela legislação aplicável ou pelo Contrato.
Dúvidas sobre este DPA ou sobre o Tratamento de Dados de Serviço pela KWIGA em nome de um Cliente podem ser enviadas para:
TUTERIA VCC
17A Vrabcha Street, Andar 1, Apto. 3
1000 Sófia, Bulgária
E-mail: support@kwiga.com
Este Apêndice faz parte do Contrato de Tratamento de Dados.
Tratamento de Dados de Serviço pela KWIGA conforme necessário para fornecer, manter, dar suporte e proteger os Serviços KWIGA selecionados e configurados pelo Cliente.
Durante o período de uso dos Serviços KWIGA relevantes pelo Cliente. Após a rescisão ou expiração da assinatura do Cliente, os Dados de Serviço específicos do Cliente poderão ser retidos por até noventa (90) dias a partir do término do período de assinatura do Cliente, para permitir a reativação, a recuperação de dados e o encerramento ordenado dos Serviços.
Após o término desse período, os Dados Pessoais contidos nos Dados de Serviço específicos do Cliente, incluindo os dados de pedidos associados, serão anonimizados de acordo com a Seção 5 do DPA e os procedimentos de retenção aplicáveis da KWIGA. Após noventa (90) dias adicionais dessa anonimização, os dados correspondentes serão excluídos permanentemente dos sistemas ativos da Plataforma KWIGA, de acordo com os procedimentos aplicáveis de retenção e exclusão, salvo se a retenção contínua for exigida pela legislação aplicável ou de outra forma permitida nos termos do DPA. Quando a TUTERIA VCC Tratar Dados Pessoais em nome do Cliente como Operadora, este processo de retenção e exclusão será aplicado sujeito às instruções documentadas do Cliente, ao contrato de tratamento de dados aplicável e às Leis de Proteção de Dados Aplicáveis.
Os Dados Pessoais Tratados pela TUTERIA VCC em sua qualidade de Controladora independente estão sujeitos aos períodos de retenção aplicáveis a esse Tratamento.
Dependendo dos Serviços selecionados e configurados pelo Cliente, o Tratamento pode incluir:
coleta;
registro;
organização;
estruturação;
armazenamento;
hospedagem;
adaptação;
recuperação;
consulta;
uso;
transmissão;
disponibilização;
administração;
análise conforme instruído pelo Cliente;
restrição;
exportação;
exclusão;
anonimização; e
outro Tratamento necessário para fornecer os Serviços selecionados.
Tratamento dos Dados de Serviço para as finalidades determinadas pelo Cliente, incluindo, dependendo do uso da KWIGA pelo Cliente:
gestão de alunos e clientes;
funcionalidade de CRM;
funcionalidade de LMS;
oferta e administração de cursos e programas educacionais;
administração do acesso a produtos digitais;
testes, questionários e tarefas;
acompanhamento do progresso no curso;
certificados;
comunicação com alunos e clientes;
funcionalidade de e-mail e notificações;
automações;
administração de pedidos;
funcionalidade de integração;
suporte ao cliente;
relatórios e análises selecionados pelo Cliente; e
outras funcionalidades habilitadas ou configuradas pelo Cliente.
Dependendo do uso dos Serviços pelo Cliente, os Titulares dos Dados podem incluir:
alunos;
aprendizes;
clientes;
clientes em potencial;
assinantes;
participantes do curso;
funcionários e prestadores de serviços do Cliente;
instrutores;
administradores;
assistentes;
representantes do Cliente; e
outras pessoas cujos Dados Pessoais são enviados à Plataforma KWIGA ou tratados por meio dela pelo Cliente ou em nome dele.
Dependendo dos Serviços utilizados pelo Cliente, os Dados de Serviço podem incluir:
Informações de identidade e perfil
primeiro nome;
nome do meio;
sobrenome;
imagem de perfil;
identificadores de conta ou perfil.
Informações de contacto
endereço de e-mail;
número de telefone;
outros dados de contacto enviados pelo Cliente ou Titular dos Dados.
Informações educacionais e de aprendizagem
cursos e programas;
inscrição;
informações de acesso;
progresso no curso;
conclusão da aula;
respostas a questionários e testes;
resultados de testes;
pontuações;
trabalhos;
comentários;
certificados;
conquistas;
pontos e estados.
Informações de CRM e gestão de clientes
etiquetas;
grupos;
estado do cliente;
notas;
histórico do cliente;
histórico de comunicações;
campos personalizados configurados pelo Cliente.
Informações relacionadas com pedidos e transações
identificadores de pedidos;
produtos;
montantes;
moedas;
descontos;
cupões;
estado do pagamento;
datas das transações;
informações sobre reembolsos;
parâmetros de prestações ou subscrições;
outras informações sobre pedidos processadas em nome do Cliente.
A KWIGA não exige que os Clientes enviem dados de segurança de cartões de pagamento, tais como números completos de cartão ou códigos CVC, para campos comuns de Dados de Serviço de CRM ou LMS.
Comunicações
mensagens;
e-mails;
comentários;
informações relacionadas ao suporte;
outras comunicações processadas por meio de funcionalidades selecionadas pelo Cliente.
Informações técnicas
Na medida em que sejam Processados em nome do Cliente:
endereço IP;
informações de login/atividade;
informações sobre o dispositivo ou navegador;
identificadores técnicos;
registros de data e hora.
Os Serviços KWIGA não exigem que o Cliente Processe Categorias Especiais de Dados Pessoais. No entanto, os Dados de Serviço podem incluir Categorias Especiais de Dados Pessoais quando o Cliente optar por coletar ou de outra forma Processar tais dados por meio de questionários, formulários, campos personalizados, conteúdo carregado, comunicações ou outros recursos configuráveis dos Serviços.
O Cliente determina o conteúdo e as finalidades de tal Processamento e é responsável por estabelecer uma base jurídica aplicável e, quando necessário, uma condição aplicável nos termos do Artigo 9 do GDPR.
O Processamento pode ocorrer de forma contínua ou periódica durante o uso, pelo Cliente, dos Serviços relevantes, dependendo da funcionalidade selecionada e das instruções do Cliente.
A TUTERIA VCC implementa medidas técnicas e organizacionais concebidas para proporcionar um nível de segurança adequado aos riscos associados ao Processamento de Dados de Serviço.
As medidas descritas abaixo representam categorias de medidas de segurança e podem ser adaptadas ou complementadas periodicamente com base na natureza do Processamento, nos desenvolvimentos tecnológicos, nos riscos identificados e nas alterações nos Serviços KWIGA.
A KWIGA implementa medidas concebidas para restringir o acesso a Dados Pessoais e à funcionalidade da Plataforma a usuários, pessoas e sistemas autorizados.
Tais medidas podem incluir:
autenticação de usuários;
gerenciamento de funções e permissões;
controles de autorização;
restrições de acesso com base no contexto relevante do usuário ou do Cliente;
gerenciamento e revisão de direitos de acesso internos; e
medidas concebidas para impedir o acesso não autorizado entre ambientes de Clientes.
A KWIGA implementa controles técnicos concebidos para garantir que o acesso aos dados do Cliente seja adequadamente restringido de acordo com o Cliente, a conta, a escola, o projeto ou outro contexto de autorização aplicável.
Os controles de autorização são revisados e testados conforme apropriado para a funcionalidade relevante.
A KWIGA utiliza mecanismos de registro e monitoramento adequados à operação e à segurança dos Serviços.
Estas medidas podem incluir:
registro de aplicativos e sistemas;
monitoramento de eventos de segurança;
detecção de atividades suspeitas;
monitoramento de erros;
monitoramento de tráfego;
análise de atividades incomuns ou potencialmente abusivas; e
manutenção de registros relevantes de incidentes de segurança.
A KWIGA implementa medidas destinadas a detectar, restringir e responder a abusos, acessos não autorizados e uso indevido automatizado das funcionalidades da Plataforma.
Dependendo do serviço ou endpoint relevante, tais medidas podem incluir:
controles de solicitações;
controles de taxa;
restrições de acesso;
mecanismos de bloqueio automatizados ou manuais;
detecção de atividades suspeitas; e
controles adicionais de verificação ou autorização.
A KWIGA mantém processos para identificar, avaliar e corrigir vulnerabilidades de segurança.
Tais medidas podem incluir:
revisões de segurança;
testes de controles de autorização;
testes automatizados, quando apropriado;
correção de vulnerabilidades;
revisão de descobertas de segurança;
testes de regressão; e
verificação de medidas corretivas.
A KWIGA mantém processos destinados a detectar, escalar, investigar, conter e corrigir incidentes de segurança e Violações de Dados Pessoais.
Tais processos podem incluir:
escalonamento de incidentes;
investigação técnica;
preservação e análise de logs relevantes;
medidas de contenção;
correção;
avaliação de riscos;
avaliação de notificações regulatórias e ao Cliente;
revisão pós-incidente; e
implementação de ações corretivas.
As pessoas autorizadas a acessar os Dados do Serviço estão sujeitas a obrigações de confidencialidade adequadas.
O acesso aos Dados Pessoais é concedido com base em requisitos operacionais e é limitado sempre que razoavelmente praticável.
A KWIGA mantém processos de backup e recuperação adequados aos Serviços e à infraestrutura relevantes.
Os dados de backup estão sujeitos a controles adequados de acesso e segurança.
Os Dados Pessoais excluídos podem permanecer temporariamente em sistemas de backup até serem excluídos ou substituídos de acordo com os procedimentos aplicáveis de retenção de backups.
A KWIGA implementa medidas destinadas a apoiar a disponibilidade e a resiliência dos Serviços adequadas à natureza e ao risco do Tratamento relevante.
As medidas técnicas e organizacionais podem ser revisadas e atualizadas com base em:
alterações na Plataforma;
riscos de segurança identificados;
constatações de vulnerabilidades;
incidentes;
alterações nos requisitos legais aplicáveis; e
desenvolvimentos tecnológicos.
As atualizações não devem reduzir materialmente o nível geral de proteção fornecido aos Dados de Serviço.