Acordo de Processamento de Dados.

Introdução

Este Acordo de Processamento de Dados ("DPA") faz parte dos Termos de Serviço entre a Hangar.Media Ltd, empresa registrada na Inglaterra e no País de Gales ("Hangar.Media", "Processador"), e o cliente identificado na respectiva conta Hangar.Media ("Cliente", "Controlador").

Ele estabelece os termos sob os quais a Hangar.Media processa dados pessoais em nome do Cliente no contexto da plataforma de sinalização digital Hangar.Media (o "Serviço"), em conformidade com o Artigo 28 do Regulamento Geral de Proteção de Dados do Reino Unido ("UK GDPR") e a Lei de Proteção de Dados de 2018.

Este DPA se aplica automaticamente a todos os Clientes do Serviço. Nenhuma assinatura separada é necessária; o DPA entra em vigor quando o Cliente aceita os Termos de Serviço. Uma versão com contraassinatura está disponível mediante solicitação pelo formulário de contato para Clientes cujos processos internos assim exijam.

Definições

Os termos utilizados, mas não definidos neste DPA, têm os significados atribuídos a eles nos Termos de Serviço ou no UK GDPR. Para fins de clareza:

• "Controlador", "Processador", "Titular dos Dados", "Dados Pessoais", "Tratamento" e "Violação de Dados Pessoais" têm os significados atribuídos a eles no UK GDPR.
• "Dados Pessoais do Cliente" significa os Dados Pessoais que a Hangar.Media processa em nome do Cliente no âmbito da prestação do Serviço.
• "Subprocessador" significa qualquer terceiro contratado pela Hangar.Media para processar Dados Pessoais do Cliente.
• "Autoridade Supervisora" significa o Information Commissioner's Office (ICO) do Reino Unido.

Papéis das Partes

Em relação aos Dados Pessoais do Cliente processados sob este DPA:

• O Cliente é o Controlador.
• A Hangar.Media é o Processador, atuando exclusivamente com base nas instruções documentadas do Cliente.

O uso do Serviço pelo Cliente, incluindo a configuração de Conteúdo, telas, usuários e recursos opcionais de medição de audiência, constitui instruções documentadas à Hangar.Media para os fins do Artigo 28(3)(a) do UK GDPR.

Para fins de clareza, em relação aos dados de conta e faturamento da própria Hangar.Media (incluindo dados de cadastro do Cliente, informações de pagamento e comunicações com o suporte), a Hangar.Media atua como Controladora, e esse tratamento é regido pela Política de Privacidade, e não por este DPA.

Objeto, Duração, Natureza e Finalidade

Obrigações do Processador

A Hangar.Media deverá:

• Processar os Dados Pessoais do Cliente apenas de acordo com as instruções documentadas do Cliente, inclusive no que diz respeito a transferências de Dados Pessoais para fora do Reino Unido, salvo se obrigada a agir de forma diferente por lei (caso em que a Hangar.Media informará o Cliente sobre tal exigência legal antes do processamento, a menos que a lei proíba tal notificação por razões relevantes de interesse público).
• Garantir que as pessoas autorizadas a processar os Dados Pessoais do Cliente estejam vinculadas por obrigações contratuais adequadas de confidencialidade ou por obrigações legais de confidencialidade.
• Adotar todas as medidas exigidas pelo Artigo 32 do UK GDPR, conforme descrito na seção Segurança abaixo.
• Auxiliar o Cliente, levando em conta a natureza do processamento, por meio de medidas técnicas e organizacionais adequadas, no cumprimento da obrigação do Cliente de responder a solicitações de Titulares de Dados que exerçam seus direitos nos termos do UK GDPR.
• Auxiliar o Cliente a garantir a conformidade com suas obrigações nos termos dos Artigos 32 a 36 do UK GDPR (segurança, notificação de violação, DPIA e consulta prévia), levando em conta a natureza do processamento e as informações disponíveis para a Hangar.Media.
• A critério do Cliente, excluir ou devolver todos os Dados Pessoais do Cliente após o término da prestação do Serviço, e excluir as cópias existentes, salvo se a retenção for exigida por lei, conforme descrito na seção Exclusão e Devolução de Dados abaixo.
• Disponibilizar ao Cliente todas as informações necessárias para demonstrar a conformidade com as obrigações estabelecidas neste DPA e no Artigo 28 do UK GDPR.

Subprocessadores

O Cliente concede à Hangar.Media autorização geral para contratar Subprocessadores para auxiliar na prestação do Serviço, sujeito às condições estabelecidas nesta seção.

Subprocessadores Atuais

Alterações nos Subprocessadores

A Hangar.Media notificará o Cliente com antecedência sobre quaisquer alterações previstas na lista de Subprocessadores (por exemplo, ao adicionar um novo Subprocessador ou substituir um existente), dando ao Cliente a oportunidade de se opor a tais alterações. A notificação será feita mediante atualização deste DPA e, quando um endereço de e-mail para notificações tiver sido fornecido, por e-mail ao contato registrado do Cliente, com pelo menos 30 dias de antecedência em relação à data de entrada em vigor da alteração.

Caso o Cliente tenha uma objeção razoável a um novo Subprocessador proposto com base em fundamentos de proteção de dados, o Cliente deverá notificar a Hangar.Media por escrito no prazo de 14 dias após o recebimento da notificação. As partes agirão de boa-fé para resolver a objeção. Se não for possível chegar a uma resolução aceitável, qualquer uma das partes poderá rescindir a assinatura do Cliente sem penalidade, e a Hangar.Media reembolsará quaisquer valores pré-pagos não utilizados em base proporcional.

Obrigações dos Subprocessadores

Quando a Hangar.Media contratar um Subprocessador, deverá impor a esse Subprocessador, por meio de contrato escrito, obrigações de proteção de dados não menos protetoras do que as estabelecidas neste DPA. A Hangar.Media permanece integralmente responsável perante o Cliente pelo cumprimento das obrigações de qualquer Subprocessador.

Direitos dos Titulares de Dados

Levando em conta a natureza do processamento, a Hangar.Media deverá auxiliar o Cliente por meio de medidas técnicas e organizacionais adequadas, na medida do possível, no cumprimento da obrigação do Cliente de responder a solicitações de exercício dos direitos dos Titulares de Dados nos termos do Capítulo III do UK GDPR, incluindo:

• O direito de acesso (Artigo 15)
• O direito de retificação (Artigo 16)
• O direito ao apagamento (Artigo 17)
• O direito à limitação do tratamento (Artigo 18)
• O direito à portabilidade dos dados (Artigo 20)
• O direito de oposição (Artigo 21)

Caso a Hangar.Media receba uma solicitação diretamente de um Titular de Dados relacionada aos Dados Pessoais do Cliente, a Hangar.Media não responderá a essa solicitação diretamente (exceto para confirmar o recebimento) e encaminhará a solicitação ao Cliente sem demora injustificada.

O Serviço disponibiliza ao Cliente ferramentas de autoatendimento por meio do painel e da API para responder à maioria das solicitações dos Titulares de Dados (por exemplo, exportar, corrigir ou excluir contas de usuário e Conteúdo).

Segurança

A Hangar.Media deverá implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança compatível com o risco, conforme exigido pelo Artigo 32 do UK GDPR. Essas medidas incluem, no mínimo:

• Criptografia em trânsito: Todos os dados transmitidos entre dispositivos de usuários finais e os servidores da Hangar.Media são criptografados com TLS 1.3 ou equivalente.
• Criptografia em repouso: Os Dados Pessoais do Cliente armazenados em bancos de dados e em armazenamento de objetos são criptografados com AES-256.
• Controle de acesso: O acesso aos Dados Pessoais do Cliente é restrito a pessoal autorizado com base na necessidade de conhecimento, utilizando controles de acesso baseados em função e autenticação robusta. O acesso administrativo é registrado em log.
• Segurança de rede: A infraestrutura de produção é protegida por firewalls, detecção de intrusão e varredura automatizada de vulnerabilidades.
• Backups: Backups criptografados são mantidos em um ciclo rotativo de 30 dias e armazenados em uma localização geográfica separada no Reino Unido.
• Gestão de vulnerabilidades: Patches de segurança são aplicados aos sistemas de produção de acordo com uma política documentada de gestão de patches, com patches críticos aplicados sem demora injustificada.
• Resposta a incidentes: A Hangar.Media mantém um processo documentado de resposta a incidentes que abrange detecção, contenção, notificação e remediação.
• Treinamento de pessoal: Os colaboradores com acesso a Dados Pessoais do Cliente recebem treinamento em proteção de dados e segurança da informação.
• Desenvolvimento seguro: As alterações no Serviço são revisadas, testadas e implantadas por meio de um processo de lançamento controlado.

A Hangar.Media reserva-se o direito de atualizar estas medidas ao longo do tempo para manter um nível de segurança adequado, desde que as medidas atualizadas ofereçam proteção não inferior à descrita aqui.

Notificação de Violação de Dados Pessoais

A Hangar.Media notificará o Cliente sem demora injustificada e, em qualquer caso, dentro de 72 horas após tomar conhecimento de uma Violação de Dados Pessoais que afete os Dados Pessoais do Cliente. A notificação incluirá, na medida em que for conhecido no momento:

• A natureza da Violação de Dados Pessoais, incluindo as categorias e o número aproximado de Titulares de Dados e registros afetados
• As prováveis consequências da Violação de Dados Pessoais
• As medidas tomadas ou propostas para tratar a Violação de Dados Pessoais e mitigar seus possíveis efeitos adversos
• Os dados de contato de um ponto de contato onde informações adicionais possam ser obtidas

Quando não for possível fornecer todas essas informações de uma só vez, elas serão fornecidas em etapas, sem demora injustificada adicional. A Hangar.Media também cooperará de forma razoável com o Cliente nas obrigações de investigação e notificação do Cliente perante a Autoridade Supervisora e os Titulares de Dados afetados.

Transferências Internacionais

Os Dados Pessoais do Cliente são armazenados e processados no Reino Unido. Quando um Subprocessador está localizado na União Europeia (por exemplo, a Stripe na Irlanda), a Hangar.Media se baseia na regulamentação de adequação do Reino Unido para a UE, pela qual os padrões de proteção de dados da UE são reconhecidos como adequados para os fins do UK GDPR.

A Hangar.Media não transferirá Dados Pessoais do Cliente para um país terceiro fora do Reino Unido ou do Espaço Econômico Europeu sem garantir que um mecanismo de transferência adequado esteja em vigor, como o Acordo de Transferência Internacional de Dados do Reino Unido, Cláusulas Contratuais Padrão com o Adendo do Reino Unido, ou com base em uma regulamentação de adequação.

Direitos de Auditoria

A Hangar.Media disponibilizará ao Cliente, mediante solicitação razoável por escrito e não mais de uma vez por período de doze meses, as informações razoavelmente necessárias para demonstrar conformidade com este DPA e com o Artigo 28 do UK GDPR. Isso pode assumir a forma de:

• Respostas por escrito a um questionário razoável de proteção de dados
• Cópias de políticas, procedimentos ou certificações relevantes
• Relatórios resumidos de avaliações de segurança realizadas no Serviço

Quando o Cliente tiver uma obrigação regulatória ou base razoável para exigir uma auditoria presencial, as partes deverão acordar previamente o cronograma, o escopo e os termos de confidencialidade de tal auditoria, que será realizada às expensas do Cliente e de forma que não prejudique a operação do Serviço.

Exclusão e Devolução de Dados

Após o encerramento ou expiração da assinatura do Cliente:

• O Cliente terá um prazo de 30 dias após o encerramento para exportar o Conteúdo do Cliente e os dados da conta por meio do painel do Serviço ou da API.
• Após o prazo de 30 dias, a Hangar.Media excluirá todos os Dados Pessoais do Cliente dos sistemas de produção ativos. Os dados excluídos serão removidos dos backups dentro da janela de rotação de backup de 30 dias.
• Os registros de faturamento e faturas serão retidos por 7 anos em conformidade com os requisitos legais do HMRC, conforme descrito na Política de Privacidade.
• A Hangar.Media fornecerá, mediante solicitação, confirmação por escrito de que a exclusão foi realizada.

Responsabilidade

A responsabilidade de cada parte no âmbito deste DPA ou em conexão com ele está sujeita às limitações e exclusões de responsabilidade estabelecidas nos Termos de Serviço. Nada neste DPA exclui ou limita qualquer responsabilidade que não possa ser excluída ou limitada nos termos da legislação aplicável.

Precedência

Em caso de conflito entre este DPA e os Termos de Serviço, este DPA prevalecerá no que diz respeito ao tratamento dos Dados Pessoais do Cliente. Todos os demais assuntos são regidos pelos Termos de Serviço.

Lei Aplicável

Este DPA é regido e interpretado de acordo com as leis da Inglaterra e do País de Gales. Quaisquer disputas decorrentes deste DPA estarão sujeitas à jurisdição exclusiva dos tribunais da Inglaterra e do País de Gales.

Alterações neste DPA

A Hangar.Media poderá atualizar este DPA periodicamente para refletir mudanças em requisitos legais, subprocessadores ou no Serviço. Alterações relevantes serão comunicadas ao Cliente com pelo menos 30 dias de antecedência, da mesma forma que as alterações nos Termos de Serviço.

Contato

Se você tiver alguma dúvida sobre este DPA ou precisar entrar em contato com a Hangar.Media em relação a qualquer assunto abordado nele, utilize o formulário de contato em nosso site.