Adendo de proteção de dados do parceiro

Este Adendo de Proteção de Dados do Parceiro (”DPA”) faz parte do Contrato do Programa de Parceria (”Contrato”) e estabelece os termos adicionais relativos ao processamento de dados pessoais. Os termos em maiúsculas têm o significado definido na próxima seção deste documento ou em outra parte do Contrato. Se houver um conflito entre os termos deste DPA e quaisquer outros termos do Contrato, este DPA prevalecerá. Para os fins deste DPA, “Provedor” significa Parceiro.

• (a) “Lei de proteção de dados aplicável” significa toda a legislação aplicável relativa ao Processamento de Dados Pessoais nos termos do Contrato, incluindo, mas não se limitando a, (i) para Dados Pessoais originários de uma Entidade Autorizada localizada no EEE, o Regulamento Geral de Proteção de Dados (UE) 2016/679 (”GDPR”) e (ii) para dados pessoais provenientes de uma entidade autorizada localizada no Reino Unido, no GDPR do Reino Unido e na Lei de Proteção de Dados do Reino Unido de 2018.
• (b) “Entidade autorizada” significa qualquer entidade (incluindo a Siemens e suas empresas do grupo) atuando como Controladora e tendo o direito, pelo Contrato, de acessar ou usar os Serviços direta ou indiretamente.
• (c) “Controller” significa a pessoa física ou jurídica que, sozinha ou em conjunto com outras pessoas, determina os propósitos e os meios do processamento de dados pessoais.
• (d) “País com uma decisão de adequação” significa qualquer país para o qual a Comissão da UE tenha decidido que esse país garante um nível adequado de proteção de dados e, para dados pessoais originários do Reino Unido, qualquer país para o qual os regulamentos de adequação do Reino Unido tenham sido estabelecidos de acordo com as seções 17A ou 74A da Lei de Proteção de Dados de 2018.
• (e) “Violação de dados” significa qualquer violação de segurança (i) que leve à destruição acidental ou ilegal, perda, alteração, divulgação ou acesso não autorizados a Dados Pessoais transmitidos, armazenados ou processados de outra forma, ou (ii) exigiria a notificação de tal evento a terceiros de acordo com a lei aplicável.
• (f) “EEE” significa o Espaço Econômico Europeu.
• (g) “Cláusulas contratuais padrão da UE” significa as Cláusulas Contratuais Padrão (UE) 2021/914.
• (h) “Área de origem” significa o EEE, o Reino Unido, a Suíça e cada país com requisitos de adequação semelhantes aos contidos no art. 45 e seguintes. GDPR.
• (i) “Dados pessoais” significa qualquer informação relacionada a uma pessoa física identificada ou identificável; uma pessoa física identificável é aquela que pode ser identificada, direta ou indiretamente, em particular por referência a um identificador, como nome, número de identificação, dados de localização, identificador on-line ou a um ou mais fatores específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa natural.
• (j) “Processamento” (e suas outras formas, como Processo, Processos, Processado) significa qualquer operação ou conjunto de operações que é realizado em Dados Pessoais ou em conjuntos de Dados Pessoais, seja por meios automatizados ou não, como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou disponibilização, alinhamento ou combinação, restrição, exclusão ou destruição.
• (k) “Processador” significa uma pessoa física ou jurídica, autoridade pública, agência ou qualquer outro órgão que processa dados pessoais em nome de um Controller.
• (l) “Processor Binding Corporate Rules” significa regras corporativas vinculativas para processadores que são aprovadas pela autoridade supervisora competente.
• (m) “Dados pessoais restritos” significa quaisquer Dados Pessoais originários de uma Entidade Autorizada localizada dentro de uma Área de Origem.
• (n) “Transferência (s) restrita (s)” significa qualquer Processamento (incluindo transferências, acesso internacional e transferências subsequentes) de Dados Pessoais Restritos pelo Provedor ou por qualquer um de seus Subprocessadores fora da Área de Origem relevante.
• (o) “Serviços” significará os Serviços previstos no Contrato fornecidos pelo Provedor atuando em sua função de Processador, na aceção deste DPA.
• (p) “Cláusulas contratuais padrão” significa as Cláusulas Contratuais Padrão da UE e as Cláusulas Contratuais Padrão do Reino Unido.
• (q) “Subprocessador (es)” significará qualquer outro Processador envolvido no desempenho dos Serviços.
• (r) “Salvaguardas de transferência” significará salvaguardas apropriadas para transferências restritas, conforme exigido pela Lei de Proteção de Dados Aplicável, incluindo, sem limitação, quaisquer salvaguardas apropriadas exigidas pelo Artigo 46 do GDPR.
• (s) “GDPR do Reino Unido” significa o GDPR conforme incorporado à legislação do Reino Unido em virtude da Seção 3 da Lei da União Europeia (Retirada) do Reino Unido de 2018.
• (t) “Cláusulas contratuais padrão do Reino Unido” significa as cláusulas padrão de proteção de dados adotadas de tempos em tempos pelo Gabinete do Comissário de Informação do Reino Unido (ICO) de acordo com o artigo 46 (2) do GDPR do Reino Unido, incluindo, mas não se limitando ao acordo internacional de transferência de dados (IDTA do Reino Unido) e às Cláusulas Contratuais Padrão da UE, conforme alterado pelo Adendo de Transferência Internacional de Dados da ICO às Cláusulas Contratuais Padrão da Comissão da UE (”Adendo do Reino Unido”). [1]

1 Veja https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

As partes devem observar a Lei de Proteção de Dados Aplicável conforme aplicável a elas e conforme exigido neste documento. Ao fornecer Serviços, o Provedor deve, em particular, cumprir as disposições da Lei de Proteção de Dados Aplicável em relação ao Processamento de Dados Pessoais como Processador.

O Provedor processará Dados Pessoais somente (a) de acordo com os termos deste DPA e do Contrato; ou (b) de acordo com outras instruções documentadas da Siemens. O provedor não processará dados pessoais para seus próprios fins nem os transferirá para terceiros, a menos que seja permitido por este DPA. O Fornecedor informará imediatamente a Siemens se, em sua opinião, uma instrução da Siemens infringir a Lei de Proteção de Dados Aplicável.

Os detalhes das operações de processamento fornecidas pelo provedor - em particular o assunto do processamento, a natureza e a finalidade do processamento, os tipos de dados pessoais processados e as categorias de titulares de dados afetados - são especificados em Anexo I a este DPA.

Levando em consideração o estado da arte, os custos de implementação e a natureza, o escopo, o contexto e os propósitos do Processamento, bem como o risco de probabilidade e severidade variáveis dos direitos e liberdades das pessoas físicas, o Provedor implementará medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado ao risco, incluindo, mas não se limitando a: (a) a pseudonimização e criptografia de Dados Pessoais; (b) a capacidade para garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas do Sistemas e serviços de processamento; (c) a capacidade de restaurar a disponibilidade e o acesso aos Dados Pessoais em tempo hábil no caso de um incidente físico ou técnico; (d) um processo para testar, avaliar e avaliar regularmente a eficácia das medidas técnicas e organizacionais para garantir a segurança do Processamento. Sem prejuízo da generalidade da frase anterior, o Provedor deve sempre implementar pelo menos as medidas técnicas e organizacionais descritas em Anexo IIa este DPA.

1 Veja https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/.

O Provedor limitará o acesso de seu pessoal aos Dados Pessoais com base na necessidade de conhecimento. O provedor deve fornecer um aviso detalhado ao seu pessoal sobre as disposições legais e contratuais aplicáveis em relação à proteção de dados. O Provedor colocará seu pessoal sob a obrigação de cumprir tais disposições e, em particular, de manter os Dados Pessoais em segredo e de não processar os Dados Pessoais de outra forma que não seja de acordo com as instruções da Siemens. A obrigação de sigilo continuará a ser aplicada após a expiração deste Contrato e da relação contratual do pessoal com o Provedor. O provedor fornecerá prova de tal obrigação mediante solicitação.

• (a) O provedor tem a autorização geral da Siemens para a contratação de subprocessadores. Uma lista atual de subprocessadores encomendados pelo provedor está contida em Anexo III a este DPA.
• (b) O Provedor deve informar especificamente a Siemens por escrito sobre quaisquer alterações pretendidas nessa lista por meio da adição ou substituição de Subprocessadores com pelo menos 30 dias de antecedência. O Fornecedor fornecerá à Siemens as informações necessárias para permitir que a Siemens exerça o direito de se opor. Se a Siemens não levantar objeções dentro desse período de 30 dias, isso será considerado uma aprovação do novo subprocessador. Se a Siemens levantar objeções, o Fornecedor, antes de autorizar o Subprocessador a acessar Dados Pessoais, envidará esforços razoáveis para resolver as preocupações e reservas expressas pela Siemens e (i) se absterá de usar o Subprocessador; ou (ii) proporá à Siemens uma alteração razoável nos Serviços ou na configuração ou uso dos Serviços pela Siemens para evitar o processamento de dados pessoais pelo novo subprocessador que se opôs. Se o Fornecedor não conseguir eliminar os motivos da objeção da Siemens, a Siemens tem o direito de rescindir os Serviços afetados sem quaisquer danos ou penalidades. Em caso de rescisão pela Siemens, o Fornecedor reembolsará quaisquer valores pré-pagos pelo Serviço aplicável de forma proporcional.
• (c) Quando o Provedor contrata um Subprocessador para realizar atividades de processamento específicas (em nome da Siemens e/ou de Entidades Autorizadas), ele o fará por meio de um contrato por escrito que preveja, em substância, as mesmas obrigações de proteção de dados que as que vinculam o Provedor de acordo com este DPA.
• (d) O Fornecedor fornecerá, a pedido da Siemens, uma cópia desse contrato de subprocessador e quaisquer emendas subsequentes à Siemens. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o Provedor pode redigir o texto do contrato antes de compartilhar uma cópia.
• (e) O Provedor deve auditar de forma adequada e regular o Subprocessador com relação à conformidade com esses requisitos e documentar os resultados de tais auditorias.
• (f) O Fornecedor permanecerá totalmente responsável perante a Siemens pelo desempenho das obrigações do Subprocessador de acordo com seu contrato com o Fornecedor. O Fornecedor informará a Siemens sobre qualquer falha do Subprocessador em cumprir suas obrigações nos termos desse contrato.

No caso de transferências restritas para o Provedor, o Provedor deve garantir que tal Transferência Restrita seja coberta por salvaguardas de transferência adequadas, conforme estabelecido neste Seção 9 e Anexo III a este DPA.

• (a) Cláusulas contratuais padrão. O seguinte se aplicará se uma Salvaguarda de Transferência for baseada nas Cláusulas Contratuais Padrão:
  • EEE-Provedores. Se o Provedor estiver localizado no EEE, o Provedor deverá celebrar as Cláusulas Contratuais Padrão (Módulo 3) com seu Subprocessador. Seções 9 (a) (vii) (“Lei Aplicável”), 9 (a) (viii) (“Escolha de foro e jurisdição”), 9 (a) (ix) (b) (“Parte 1 do Adendo do Reino Unido”) e o segunda frase da Seção 9 (a) (x) (“Entidades autorizadas em outros países”) deste DPA não se aplicarão se o Provedor estiver localizado no EEE.
  • Fornecedores não pertencentes ao EEE. Se o Provedor estiver localizado fora do EEE, a Transferência Restrita será regida pelos Módulos 2 e 3 das Cláusulas Contratuais Padrão. As disposições relevantes contidas nas Cláusulas Contratuais Padrão são incorporadas por referência e são parte integrante deste DPA. As informações necessárias para os fins dos Anexos às Cláusulas Contratuais Padrão estão estabelecidas em Anexos I a IIIa este DPA.
  • Cláusula de encaixe. A opção prevista na Cláusula 7 das Cláusulas Contratuais Padrão não se aplica.
  • Transferências subsequentes. Qualquer transferência posterior deve estar em conformidade com as Cláusulas 8 e 9 do Módulo aplicável das Cláusulas Contratuais Padrão. Caso a Siemens esteja localizada fora do EEE e atue como importadora de dados de acordo com as Cláusulas Contratuais Padrão com Entidades Autorizadas, a cláusula de terceiro beneficiário estipulada pela Cláusula 9 (e) das Cláusulas Contratuais Padrão será a favor dessa Entidade Autorizada.
  • Uso de subprocessadores.A opção 2 da Cláusula 9 das Cláusulas Contratuais Padrão será aplicada. Para os fins da Cláusula 9 (a) das Cláusulas Contratuais Padrão, o Fornecedor tem a autorização geral da Siemens para contratar Subprocessadores de acordo com Seção 8 deste DPA.
  • Reparação. Caso o Provedor ofereça aos titulares dos dados a opção de apresentar uma reclamação a um órgão independente de resolução de disputas (consulte a Opção na Cláusula 11 das Cláusulas Contratuais Padrão), o Fornecedor informará a Siemens sobre o órgão de arbitragem responsável por escrito e cumprirá os requisitos aplicáveis contidos na Cláusula 11 das Cláusulas Contratuais Padrão e as regras de arbitragem aplicáveis.
  • Lei vigente. A lei aplicável para os fins da Cláusula 17 das Cláusulas Contratuais Padrão será a lei designada na seção de legislação aplicável do Contrato. Se o Contrato não for regido pela lei de um Estado-Membro da UE, as Cláusulas Contratuais Padrão da UE serão regidas pelas leis da Alemanha.
  • Escolha do fórum e jurisdição. Os tribunais previstos na Cláusula 18 das Cláusulas Contratuais Padrão serão aqueles designados na seção de foro do Contrato. Se o Contrato não designar um tribunal de um Estado-Membro da UE como tendo jurisdição exclusiva para resolver qualquer disputa ou ação judicial decorrente ou relacionada ao Contrato, as partes concordam que os tribunais da Alemanha terão jurisdição exclusiva para resolver qualquer disputa decorrente das Cláusulas Contratuais Padrão da UE.
  • Entidades autorizadas no Reino Unido. Caso as Transferências Restritas tenham origem em Entidades Autorizadas localizadas no Reino Unido, o seguinte se aplicará:
    • Adendo do Reino Unido. O Adendo do Reino Unido deve ser usado, a menos que acordado de outra forma por escrito pela Siemens.
    • Parte 1 do Adendo do Reino Unido. A Parte 1 da Adenda do Reino Unido deve ser aplicada da seguinte forma:
      1. Tabela 1: Os detalhes das partes e as principais informações de contato estão contidos em Anexo I a este DPA.
      2. Tabela 2: A versão dos SCCs aprovados da UE (conforme definido pelo Adendo do Reino Unido) à qual o Adendo do Reino Unido está anexado são as Cláusulas Contratuais Padrão da UE com os Módulos e Cláusulas selecionados acima em Seção 9 (a) deste DPA. Nenhum dado pessoal recebido do importador é combinado com dados pessoais coletados pelo exportador.
      3. Tabela 3: As informações do apêndice, conforme exigido pela Tabela 3 do Adendo do Reino Unido, estão contidas em Anexos I a III a este DPA.
      4. Tabela 4: Nenhuma das partes pode rescindir o Adendo do Reino Unido quando o Adendo Aprovado (conforme definido no Adendo do Reino Unido) for alterado.
  • Entidades autorizadas em outros países. Caso as Cláusulas Contratuais Padrão protejam as Transferências Restritas de Entidades Autorizadas localizadas fora do EEE e do Reino Unido (por exemplo, Suíça), (1) as referências gerais e específicas nas Cláusulas Contratuais Padrão ao GDPR ou às leis da UE ou dos Estados-Membros terão o mesmo significado que a referência equivalente nas Leis de Proteção de Dados Aplicáveis do país onde a Entidade Autorizada está localizada, conforme aplicável; e (2) referências à “autoridade supervisora competente” devem ser interpretados como referências à proteção de dados competente autoridade nesse país. A lei aplicável, a escolha do foro e a jurisdição serão regidas por Seções 9 (a) (vii) e (viii) deste DPA, a menos que exigido de outra forma pelas leis aplicáveis à respectiva Entidade Autorizada, caso em que as Cláusulas Contratuais Padrão serão regidas pelas leis do país em que a Entidade Autorizada está localizada e quaisquer referências aos “tribunais” competentes devem ser interpretadas como referências aos tribunais competentes desse país.
• Regras corporativas vinculativas para processadores. O seguinte se aplicará se uma Proteção de Transferência for baseada nas Regras Corporativas Vinculativas do Processador: O Provedor deverá vincular contratualmente esse Subprocessador a cumprir as Regras Corporativas Vinculativas do Processador com relação aos Dados Pessoais Processados de acordo com este DPA.
• Salvaguardas adicionais de transferência. Caso uma Salvaguarda de Transferência não seja baseada em Cláusulas Contratuais Padrão, as Cláusulas 14 e 15 das Cláusulas Contratuais Padrão serão aplicadas mutatis-mutandis às Transferências Restritas sob essa outra Salvaguarda de Transferência, a menos que a respectiva Salvaguarda de Transferência contenha, em substância, os mesmos direitos e obrigações em relação a (i) leis e práticas locais que afetam a conformidade com as Salvaguardas de Transferência e (ii) obrigações em caso de acesso por autoridades públicas, conforme contido nas Cláusulas 14 e 15 das Cláusulas Contratuais Padrão.
• Outros. O Provedor concorda e compreende que a Lei de Proteção de Dados aplicável local pode conter restrições de transferência semelhantes ou adicionais, conforme contidas nesta Seção 9. Nesse caso, o Fornecedor concorda em envidar esforços razoáveis e cooperar com a Siemens de boa fé para atender a esses requisitos.

O Provedor deve ajudar razoavelmente a Siemens a garantir a conformidade com a Lei de Proteção de Dados Aplicável, em particular auxiliando a Siemens da seguinte forma:

• (a) Correção, exclusão ou restrição de processamento. O Provedor deve (i) fornecer a capacidade de retificar, apagar ou restringir o Processamento de Dados Pessoais por meio das funcionalidades dos Serviços, ou (ii) corrigir, apagar ou restringir o Processamento de Dados Pessoais conforme instruído pela Siemens.
• (b) Acesso aos dados pessoais. Na medida em que as informações relacionadas a um titular de dados não estejam acessíveis por meio do Serviço, o Provedor, conforme necessário para permitir que a Siemens e as Entidades Autorizadas cumpram suas obrigações de acordo com as Leis de Proteção de Dados aplicáveis, fornecerá assistência para disponibilizar essas informações à Siemens e/ou às Entidades Autorizadas.
• (c) Solicitações de titulares de dados e autoridades. O Provedor notificará imediatamente a Siemens sobre: (i) qualquer solicitação ou reclamação recebida ou qualquer notificação de investigação por uma autoridade ou agência policial, governamental ou regulatória; e (ii) qualquer solicitação recebida diretamente de qualquer titular de dados sobre seus Dados Pessoais. Com relação aos itens (i) e (ii) acima, o Fornecedor não responderá sem instruções da Siemens. Se assim for instruído, o Fornecedor apoiará razoavelmente a Siemens na resposta a tais solicitações.
• (d) Portabilidade de dados. Mediante solicitação da Siemens e se exigido pela Lei de Proteção de Dados Aplicável, o Provedor (i) fornecerá a capacidade de extrair Dados Pessoais por referência a um titular de dados específico de acordo com as funcionalidades do Serviço ou (ii) disponibilizará o conjunto relevante de dados para a Siemens e/ou a respectiva Entidade Autorizada, em cada caso em um formato estruturado, comumente usado e legível por máquina.
• (e) Avaliações de impacto na proteção de dados. Se solicitado pela Siemens, o Provedor fornecerá todas as informações e suporte razoável para realizar avaliações de impacto na proteção de dados de acordo com as Leis de Proteção de Dados Aplicáveis.

Após o término da relação de processamento de dados, a menos que seja instruído de outra forma pela Siemens ou estabelecido neste documento, o Provedor devolverá à Siemens todos os Dados Pessoais disponibilizados ao Provedor ou obtidos ou gerados pelo Provedor em conexão com os Serviços contratualmente acordados e excluirá ou destruirá irrevogavelmente quaisquer dados restantes. A exclusão ou destruição deve ser confirmada pelo Provedor por escrito, mediante solicitação.

• (a) O Fornecedor notificará a Siemens imediatamente, mas em qualquer caso dentro de 48 horas, caso o Provedor descubra ou suspeite razoavelmente de qualquer violação de dados.
• (b) Na notificação à Siemens, o Fornecedor deve fornecer à Siemens as seguintes informações: (i) detalhes de um ponto de contato onde (ou de quem) mais informações podem ser obtidas, (ii) uma descrição da natureza da violação (incluindo, sempre que possível, nomes, categorias e número aproximado de titulares de dados e registros de dados pessoais envolvidos), (iii) as consequências prováveis e as medidas tomadas ou propostas para resolver a violação, incluindo onde medidas apropriadas para mitigar seus possíveis efeitos adversos. Se e na medida em que não for possível fornecer todas as informações ao mesmo tempo, a notificação inicial deve conter as informações então disponíveis e, assim que disponíveis, outras informações devem ser fornecidas posteriormente sem demora injustificada.
• (c) Qualquer notificação sob este Seção 12 deve ser feito (i) para o respectivo ponto de contato identificado no Contrato e (ii) para dataprotection@siemens.com.
• (d) O Fornecedor deverá, às custas e despesas do Fornecedor, (i) cooperar totalmente com a Siemens na investigação de uma violação de dados; (ii) auxiliar e cooperar com a Siemens em relação a quaisquer notificações ou divulgações legalmente exigidas às pessoas afetadas (por comunicação individual, comunicação pública via mídia ou por meio de medidas similares), autoridades policiais, reguladores e/ou outros terceiros; e (iii) tomar qualquer outra ação que a Siemens considere considere necessário em relação a tal violação de dados e a qualquer disputa, consulta ou reclamação relacionada à violação de dados.
• (e) A menos que a lei aplicável ou uma ordem de um regulador competente exija o contrário, a Siemens tomará a decisão final, a seu exclusivo critério, (i) se uma violação de dados exige notificação e (ii) da forma da notificação. Caso o Provedor forneça tais notificações sobre uma violação de dados, tais notificações devem ser aprovadas, com antecedência, pela Siemens.
• (f) O provedor deve, às suas custas, tomar as medidas apropriadas para lidar com a violação de dados, incluindo medidas para mitigar seus efeitos adversos (incluindo medidas para proteger o ambiente operacional). O Provedor também deve tomar medidas imediatas para evitar a recorrência de qualquer violação de dados, incluindo qualquer ação exigida pela Lei de Proteção de Dados aplicável.
• (g) O Provedor reembolsará à Siemens todos os custos e despesas incorridos por tal Violação de Dados causada pelo Provedor, incluindo, mas não se limitando aos custos de fornecer monitoramento de crédito aos indivíduos cujos Dados Pessoais foram afetados pela Violação de Dados. As limitações de responsabilidade em favor do Fornecedor nos termos do Contrato não se aplicarão a esse respeito.

• (a) O Provedor deve (i) monitorar, por meios apropriados, sua própria conformidade com suas obrigações de proteção de dados de acordo com este DPA e a Lei de Proteção de Dados Aplicável; (ii) criar relatórios periódicos (pelo menos anuais) e baseados em ocasiões (cada um deles a”Relatório”); e (iii) disponibilizar os Relatórios para a Siemens e Entidades Autorizadas mediante solicitação. Quando um padrão e uma estrutura de controle implementados pelo Provedor fornecem controles, esses controles serão executados de acordo com os padrões e regras do órgão regulador ou de credenciamento para cada padrão ou estrutura de controle aplicável.
• (b) Se necessário abordar adequadamente seus direitos e obrigações de auditoria de acordo com a Lei de Proteção de Dados Aplicável, as Salvaguardas de Transferência aplicáveis ou se solicitado por uma autoridade competente de proteção de dados ou outra autoridade ou agência governamental competente, o Fornecedor disponibilizará à Siemens e às Entidades Autorizadas - além dos Relatórios - todas as informações adicionais razoavelmente solicitadas, permitindo e contribuindo para auditorias, incluindo inspeções, conduzidas pela Siemens ou por Entidades Autorizadas ou por outro auditor mandatado pela Siemens Siemens ou entidades autorizadas. Para tal finalidade, a Siemens, as Entidades Autorizadas ou outro auditor mandatado pela Siemens ou pelas Entidades Autorizadas também terão o direito de realizar inspeções no local durante o horário comercial normal, sem interromper as operações comerciais do Fornecedor e após um aviso prévio razoável.

Se o Serviço fizer uso de cookies ou tecnologias similares, o seguinte se aplicará: O Provedor deverá, a menos que especificamente acordado de outra forma pela Siemens com referência a isso Seção 14, armazene apenas informações (por exemplo, escrevendo um cookie) ou obtenha acesso às informações já armazenadas no equipamento terminal de um usuário do Serviço (por exemplo, por meio de um cookie) com o único propósito de realizar a transmissão de uma comunicação por uma rede de comunicações eletrônicas, ou conforme estritamente necessário para que o Provedor forneça as principais funcionalidades dos Serviços.

O Fornecedor entende e concorda que os requisitos deste DPA são parte integrante do Contrato e que uma violação material de qualquer um desses requisitos deve ser considerada uma violação material pelo Fornecedor do Contrato, dando à Siemens o direito às soluções relevantes relacionadas à violação contidas no Contrato.

Se e na medida em que o Provedor acessar Dados Pessoais recebidos de uma empresa do grupo Siemens estabelecida nos Estados Unidos da América (”Siemens, empresa norte-americana”) ou de um titular de dados residente nos Estados Unidos da América, então, além do exposto acima, o Provedor: (i) deverá cumprir as leis federais, estaduais e locais dos EUA em relação aos Dados Pessoais aplicáveis ao Provedor, a esses Dados Pessoais e aos proprietários ou controladores desses Dados Pessoais; quando o exposto acima for aplicável, o termo “Lei de Proteção de Dados Aplicável”, conforme usado neste documento, incluirá as leis anteriores; (ii) exceto conforme especificamente previsto neste documento ou no Contrato, não deve vender, compartilhar, alugar, liberar, divulgar, disseminar ou disponibilizar Dados pessoais para terceiros; e não deve combinar os Dados Pessoais com outras informações; (iii) notificará a Siemens se o Provedor determinar que o Provedor não pode mais cumprir suas obrigações aqui estabelecidas; (iv) garantirá que cada pessoa que processa Dados Pessoais esteja sujeita a um dever de confidencialidade com relação aos Dados Pessoais; (v) será considerada e atuará como “prestadora de serviços” de acordo com a Lei de Proteção de Dados Aplicável (incluindo a Consumidor da Califórnia) Lei de Privacidade, seus regulamentos de implementação e quaisquer emendas à mesma); e (vii) certifica que compreende as restrições aqui contidas e as cumprirá.

Anexo I do DPA (e, quando aplicável, as cláusulas contratuais padrão)

A.LISTA DE FESTAS

Destinatário dos serviços/exportador de dados:

Fornecedor/importador de dados:

B.DESCRIÇÃO DAS OPERAÇÕES DE TRANSFERÊNCIA/PROCESSAMENTO

C.AUTORIDADE SUPERVISORA COMPETENTE

Quando a Siemens estiver estabelecida em um Estado-Membro da UE, a autoridade supervisora responsável por garantir a conformidade da Siemens com o GDPR no que diz respeito à transferência de dados atuará como autoridade supervisora competente. Para a Siemens Aktiengesellschaft, Alemanha, a autoridade supervisora é:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Passeio 18

91522 Ansbach

Alemanha

Quando a Siemens não estiver estabelecida em um Estado Membro da UE, mas estiver dentro do escopo territorial de aplicação do GDPR de acordo com o Artigo 3 (2), a autoridade supervisora do Estado Membro no qual o representante, na aceção do Artigo 27 (1) do GDPR, está estabelecido atuará como autoridade supervisora competente; a saber:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Passeio 18

91522 Ansbach

Alemanha

Anexo II do DPA (e, quando aplicável, as cláusulas contratuais padrão)

Medidas técnicas e organizacionais (incluindo medidas técnicas e organizacionais para garantir a segurança dos dados)

As seguintes medidas só se aplicam ao Provedor, na medida em que os sistemas de TI, redes e aplicativos subjacentes sejam de responsabilidade e/ou sob a custódia ou controle do Provedor. Descrição das medidas de segurança técnicas e organizacionais implementadas pelo Provedor e seu (s) Subprocessador (es):

Anexo III do DPA (e, quando aplicável, as cláusulas contratuais padrão)

LISTA DE SUBPROCESSADORES E LOCALIZAÇÕES DE DATA CENTERS

O “Formulário de Autorização do Parceiro” estabelece o

Entidades (incluindo parceiros e subprocessadores) envolvidas no armazenamento/hospedagem de dados pessoais,

Localizações de data centers aplicáveis,

Subprocessadores envolvidos no processamento de dados pessoais para fins que não sejam de armazenamento/hospedagem,

que são incorporados aqui por esta referência.

O provedor não transferirá dados pessoais da respectiva localização do data center sem o consentimento da Siemens. O mecanismo de notificação e objeção contido em Seção 8 não se aplicará a este respeito.