Este Acordo de processamento de dados (o "DPA"), celebrado pelo cliente da SendPulse (doravante "Cliente", "usuário", "você") e a SendPulse Inc. (doravante denominado "serviço SendPulse", "SendPulse”, “O Serviço”, “nós”) rege o processamento de dados pessoais que o Cliente carrega, transmite ou de outra forma fornece à SendPulse em conexão com os Serviços, bem como o processamento de quaisquer dados pessoais que a SendPulse carregue, transmita ou de outra forma forneça ao Cliente em conexão com os Serviços.
Este DPA está incorporado aos Termos de Serviço e à Política de Privacidade da SendPulse.
Coletivamente, o DPA (incluindo as Cláusulas Contratuais-Padrão- Standard Contratual Clauses (“SCCs”), conforme definido neste documento), os Termos de Serviço e a Política de Privacidade da SendPulse são referidos neste DPA como o “Contrato”.
Sempre que o tratamento envolver dados pessoais sujeitos à Lei nº 13.709/2018 (LGPD), aplicam-se também a Lei Geral de Proteção de Dados, os regulamentos da Agência Nacional de Proteção de Dados, inclusive a Resolução CD/ANPD nº 19/2024, sem prejuízo da aplicação do General Data Protection Regulation (GDPR) ou Regulamento Geral de Proteção de Dados e de outras legislações de proteção de dados quando aplicáveis.
1. Definições
“ANPD” Agência Nacional de Proteção de Dados, órgão responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados Pessoais.
“LGPD” Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais) e sua regulamentação, incluindo as resoluções e normas emitidas pela ANPD.
“SCCs da ANPD” significa as cláusulas contratuais padrão para transferência internacional de dados pessoais estabelecidas pela ANPD, nos termos da Resolução CD/ANPD nº 19/2024, aplicáveis às transferências internacionais de dados pessoais de titulares localizados no Brasil.
“Dados Pessoais” informação relacionada à pessoa natural identificada ou identificável, nos termos da LGPD.
“Tratamento ou Processamento” toda operação realizada com dados pessoais, incluindo, mas não se limitando a:
• coleta;
• utilização;
• acesso;
• reprodução;
• distribuição;
• arquivamento;
• armazenamento;
• eliminação;
“Dados Pessoais do Cliente” significa Dados Pessoais
• que o Cliente carrega ou de outra forma fornece à SendPulse em conexão com seu uso dos serviços SendPulse; e
• para os quais o Cliente é, de outra forma, um controlador de dados.
“Controlador de Dados” pessoa natural ou jurídica a quem competem as decisões referentes ao tratamento dos dados pessoais. Para fins deste DPA, o Cliente atuará como Controlador dos Dados Pessoais.
“Processador de dados ou operador de dados” pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do Controlador. Para fins deste DPA, a SendPulse atuará como Operadora dos Dados Pessoais.
“Exportador de Dados” significa o agente de tratamento que transfere os dados pessoais a outro agente de tratamento localizado em país estrangeiro ou organismo internacional;
"Importador de dados" significa o agente de tratamento localizado em país estrangeiro ou organismo internacional que recebe os dados pessoais transferidos pelo exportador, para processamento em conformidade com as instruções e termos das SCCs da ANPD.
“Requisitos de proteção de dados” significa a LGPD, as Leis Locais de Proteção de Dados e todas as Leis de Privacidade aplicáveis às partes e às atividades de processamento objeto deste Contrato.
“Leis de privacidade” significa todas as leis, regulamentos e outros requisitos legais aplicáveis relacionados a:
• privacidade, segurança de dados, proteção ao consumidor, marketing, promoção e mensagens de texto, e-mail e outras comunicações;
• o uso, coleta, retenção, armazenamento, segurança, divulgação, transferência, descarte e outro processamento de quaisquer Dados Pessoais.
“Subprocessador” significa qualquer entidade que fornece serviços de processamento para SendPulse em prol do processamento de SendPulse em nome do Cliente.
Os termos "Titular dos dados", "Dados pessoais", "Processamento", “Tratamento” e terão o mesmo significado que na LGPD e seus termos correspondentes deve ser interpretado em conformidade.
2. Natureza do processamento de dados
Cada parte concorda em processar os Dados Pessoais recebidos nos termos do Contrato apenas para os fins estabelecidos no Contrato. Para evitar dúvidas, as categorias de Dados Pessoais processados e as categorias de titulares de dados sujeitos a este DPA são descritas no Apêndice 1 deste DPA.
3. Conformidade com as leis
Cada uma das partes deve cumprir suas respectivas obrigações de acordo com todos os Requisitos de Proteção de Dados aplicáveis, incluindo, no que se refere a titulares localizados no Brasil, as obrigações decorrentes da LGPD e das regulamentações da ANPD.
4. Obrigações do cliente
O cliente concorda em:
4.1 Processamento de dados pessoais do cliente
Fornecer instruções à SendPulse e determinar as finalidades e meios gerais de processamento de Dados Pessoais do Cliente pela SendPulse, de acordo com o Contrato.
4.2 Segurança e obrigações
Cumprir suas obrigações de proteção, segurança e demais deveres em relação aos Dados Pessoais do Cliente, na qualidade de Controlador de Dados, nos termos da LGPD:
• estabelecendo e mantendo o procedimento para o atendimento das requisições dos titulares relativas ao exercício de seus direitos (arts. 18 e 19 da LGPD) quanto aos Dados Pessoais do Cliente tratados em seu nome;
• processar apenas dados coletados em conformidade com as bases legais previstas no art. 7º da LGPD, observando os princípios da finalidade, adequação, necessidade e qualidade dos dados, de modo a garantir que tais dados sejam relevantes e proporcionais aos respectivos usos;
• garantindo a conformidade com as disposições deste Acordo por seu pessoal e por qualquer terceiro que acesse ou use os Dados Pessoais do Cliente em seu nome.
Ao envolver a SendPulse como Operadora de Dados nos termos do parágrafo 5.1, o Cliente concede, por meio deste instrumento, autorização geral e por escrito para a subcontratação de Subprocessadores.
5. Obrigações da SendPulse
A SendPulse concorda com:
5.1 Requisitos de processamento
SendPulse irá:
• Processar Dados Pessoais do Cliente (i) apenas com a finalidade de fornecer, apoiar e melhorar o Serviço, usando medidas de segurança técnicas e
organizacionais apropriadas; e (ii) em conformidade com as instruções recebidas do Cliente.
• SendPulse não usará ou processará os Dados Pessoais do Cliente para qualquer outra finalidade. SendPulse informará imediatamente o Cliente se não puder cumprir os requisitos das Seções 5-8 deste DPA, caso em que o Cliente pode rescindir o Contrato ou tomar qualquer outra ação razoável, incluindo a suspensão das operações de processamento de dados.
• Informar o Cliente imediatamente se, na opinião da SendPulse, uma instrução do Cliente violar a LGPD ou demais normas aplicáveis emitidas pela ANPD. • Caso a SendPulse colete Dados Pessoais do Cliente diretamente de titulares em nome do Cliente, seguir as instruções do Cliente em relação à coleta de Dados Pessoais do Cliente (incluindo no que diz respeito ao fornecimento de notificação e exercício de escolha).
• Tomar medidas comercialmente razoáveis para garantir que (i) as pessoas empregadas por ela e (ii) outras pessoas contratadas para atuar em nome da SendPulse cumpram os termos do Acordo.
• Garantir que seus funcionários, agentes autorizados e quaisquer Subprocessadores sejam obrigados a cumprir, reconhecer e respeitar a confidencialidade dos Dados Pessoais do Cliente, inclusive após o término de seu respectivo emprego, contrato ou atribuição.
• Caso pretenda envolver Subprocessadores para ajudá-lo a cumprir suas obrigações de acordo com este DPA ou delegar todas ou parte das atividades de processamento a tais Subprocessadores (de acordo com o Apêndice 1) com a aceitação deste Contrato como consentimento do Cliente para tal subcontratação, a SendPulse deve informar o Cliente sobre quaisquer alterações pretendidas em relação à adição ou substituição de outros Subprocessadores, dando assim ao Cliente a oportunidade de se opor a tais alterações.
• Mediante solicitação, fornecer ao Cliente um resumo das políticas de privacidade e segurança da SendPulse.
• Informe o Cliente se a SendPulse realizar uma análise de segurança independente.
5.2 Aviso ao cliente
SendPulse informará o Cliente caso tome conhecimento de:
• Qualquer não conformidade da SendPulse ou de seus funcionários com as Seções 5-8 deste DPA ou com a LGPD relativas à proteção de Dados Pessoais do Cliente tratados nos termos deste DPA.
• Qualquer pedido legalmente vinculativo para divulgação de Dados Pessoais do Cliente por uma autoridade competente, salve se a SendPulse for legalmente proibida de informar o Cliente, por exemplo, para preservar a confidencialidade de uma investigação pelas autoridades.
• Qualquer notificação, consulta ou investigação por uma Autoridade Supervisora com relação aos Dados Pessoais do Cliente, incluindo qualquer comunicação da ANPD.
• Qualquer reclamação ou solicitação recebida diretamente de titulares dos dados do Cliente, incluindo solicitações de acesso, retificação, eliminação, portabilidade, anonimização, bloqueio ou exclusão de Dados Pessoais do Cliente. SendPulse não responderá a qualquer solicitação sem a autorização prévia por escrito do Cliente, exceto nas hipóteses em que a legislação aplicável assim o exigir.
5.3 Assistência ao Cliente
SendPulse fornecerá assistência razoável ao Cliente em relação a:
• Quaisquer solicitações de titulares de dados do Cliente em relação ao acesso, retificação, apagamento, restrição, portabilidade, bloqueio ou exclusão de Dados Pessoais do Cliente que a SendPulse processa para o Cliente. No caso de um titular de dados enviar tal solicitação diretamente à SendPulse, esta enviará prontamente ao Cliente.
• A investigação de incidentes de segurança com Dados Pessoais do Cliente e a comunicação à ANPD e aos titulares afetados.
• A elaboração de relatórios de impacto à proteção de dados (RIPD) e, se necessário, a realização de consultas com qualquer Autoridade de Supervisão, incluindo a ANPD.
5.4 Processamento necessário
Se SendPulse for obrigada pela LGPD a processar quaisquer Dados Pessoais do Cliente por um motivo diferente de fornecer os serviços descritos no Contrato, a SendPulse informará o Cliente sobre tal obrigação antes de qualquer processamento, a menos que a SendPulse seja legalmente proibida de fazê-lo.
5.5 Segurança
A SendPulse irá:
• Manter medidas de segurança organizacional e técnica adequadas (incluindo com relação a pessoal, instalações, hardware e software, armazenamento e redes, controles de acesso, monitoramento e registro, detecção de vulnerabilidade e violação, resposta a incidentes, criptografia de Dados Pessoais do Cliente durante o trânsito e em repouso) para proteger contra acesso não autorizado ou acidental, perda, alteração, divulgação ou destruição de Dados Pessoais do Cliente.
• Ser responsável pela suficiência da segurança, privacidade e salvaguardas de confidencialidade de todos os colaboradores da SendPulse com respeito aos Dados Pessoais do Cliente e responsável por qualquer falha por parte desses colaboradores da SendPulse em cumprir os termos deste DPA.
• Tomar medidas razoáveis para confirmar que todos os colaboradores da SendPulse estão protegendo a segurança, privacidade e confidencialidade dos Dados Pessoais do Cliente de acordo com os requisitos deste DPA.
• Notificar o Cliente de qualquer incidente de segurança por parte da SendPulse, seus Subprocessadores ou quaisquer outros terceiros agindo em nome da SendPulse, dentro de 72 horas úteis após tomar conhecimento de um incidente de segurança.
6. Auditoria, certificação
6.1 Auditoria da Autoridade de Supervisão
Se uma Autoridade de Supervisão, incluindo a ANPD, exigir uma auditoria das instalações de processamento de dados a partir das quais a SendPulse processa os Dados Pessoais do Cliente, a SendPulse cooperará com essa auditoria.
No caso de auditoria realizada pelo Cliente nos termos da Seção 6.2, o Cliente é responsável pelos custos e taxas razoáveis incorridos pela SendPulse em razão do tempo e dos recursos dedicados ao atendimento da auditoria, incluindo os serviços executados pela SendPulse para essa finalidade.
No caso de auditoria determinada pela ANPD ou por outra autoridade supervisora competente nos termos da Seção 6.1, cada parte arcará com seus próprios custos
internos de atendimento à auditoria, sendo vedada à SendPulse a transferência desses custos ao Cliente.
6.2 Auditorias pelo Cliente
O Cliente pode, antes do início do Processamento, e em intervalos regulares depois disso, auditar as medidas técnicas e organizacionais tomadas pelo SendPulse.
Para tal, o Cliente pode, por exemplo,
• Obter informações da SendPulse.
• Solicite que a SendPulse envie ao Cliente um atestado ou certificado existente por um especialista profissional independente ou, mediante
• Acordo prévio razoável e oportuno, durante o horário comercial regular e sem interromper as operações comerciais da SendPulse, conduzir uma inspeção no local das operações comerciais da SendPulse ou fazê-la conduzida por um terceiro qualificado que não seja concorrente da SendPulse.
SendPulse deverá, mediante solicitação por escrito do Cliente e dentro de um período razoável, fornecer ao Cliente todas as informações necessárias para tal auditoria, na medida em que tais informações estejam sob seu controle que não seja impedida de divulgá-las por lei ou por obrigação de confidencialidade.
7. Transferências de dados
Para fins deste Contrato, transferência internacional de dados significa qualquer transferência de Dados Pessoais do Cliente a país ou organização internacional que não disponha de nível de proteção reconhecido como adequado pela ANPD.
7.1. Mecanismo de legitimação aplicável a titulares brasileiros
Para transferências de Dados Pessoais Brasileiros a países que não disponham de decisão de adequação reconhecida pela ANPD, incluindo os Estados Unidos da América, a SendPulse compromete-se a:
• Adotar as SCCs da ANPD (Anexo II da Resolução CD/ANPD n.º 19/2024) como mecanismo de legitimação da transferência internacional de Dados Pessoais Brasileiros, qualificando as partes como Exportadora/Controladora (Cliente) e Importadora/Operadora (SendPulse) e preenchendo as seções modulares pertinentes;
• Assegurar que os Subprocessadores localizados em países sem decisão de adequação reconhecida pela ANPD estejam sujeitos a garantias equivalentes, seja por meio das SCCs da ANPD, seja por outro mecanismo aprovado pela ANPD;
• Notificar imediatamente o Cliente caso a SendPulse torne-se incapaz de cumprir as obrigações previstas nesta Seção 7.1;
• Caso não seja possível adotar as SCCs da ANPD ou outro mecanismo aprovado, os Dados Pessoais Brasileiros serão tratados exclusivamente em território com nível de proteção adequado reconhecido pela ANPD, sendo vedada qualquer transferência para país sem tal reconhecimento sem o prévio consentimento por escrito do Cliente.
A adoção das SCCs da ANPD não afasta a observância das demais obrigações previstas na LGPD e na regulamentação da ANPD aplicáveis à transferência internacional de dados.
8. Retorno e exclusão de dados
As partes concordam que, na rescisão dos serviços de processamento de dados ou mediante solicitação razoável do Cliente, a SendPulse deverá, e deverá fazer com que quaisquer Subprocessadores, à escolha do Cliente, devolva todos os Dados Pessoais do Cliente e cópias de tais dados ao Cliente ou destruí-los com segurança, demonstrando ao Cliente que tomou tais medidas, a menos que alguma obrigação legal ou regulatória impeça a SendPulse de retornar ou destruir a totalidade ou parte dos Dados Pessoais do Cliente divulgados. Nesse caso, SendPulse concorda em preservar a confidencialidade dos Dados Pessoais do Cliente retidos por ela e que só irá processar ativamente esses Dados Pessoais do Cliente após essa data, a fim de cumprir as leis aplicáveis.
9. Processadores de dados de terceiros
O Cliente reconhece que, no fornecimento de alguns serviços, a SendPulse, ao receber instruções do Cliente, poderá transferir Dados Pessoais do Cliente para e de outra forma interagir com processadores de dados de terceiros.
O Cliente concorda que, se e na medida em que tais transferências ocorrerem, é responsável por celebrar acordos contratuais separados com tais processadores de dados terceirizados, obrigando-os a cumprir as obrigações de acordo com a LGPD.
Para evitar dúvidas, esses processadores de dados de terceiros não são Subprocessadores.
10. Vigência
Este DPA permanecerá em vigor enquanto a SendPulse realizar operações de processamento de Dados Pessoais em nome do Cliente ou até a rescisão do Contrato SendPulse, desde que todos os Dados Pessoais tenham sido devolvidos ou excluídos de acordo com a Seção 8 acima.
11. Lei regente, jurisdição e foro
Não obstante qualquer disposição em contrário no Acordo, este DPA será regido pelas leis do Estado de Delaware, EUA e qualquer ação ou processo relacionado a este DPA (incluindo aqueles decorrentes de disputas não contratuais ou reclamações) serão decididas pelos tribunais estaduais e federais do estado de Delaware, e cada parte estará sujeita à jurisdição desses tribunais.
No que diz respeito a titulares de dados localizados no Brasil, aplicam-se obrigatoriamente, independentemente da lei contratual eleita pelas partes: (i) a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD); (ii) o Marco Civil da Internet (Lei nº 12.965/2014); e (iii) o Código de Defesa do Consumidor (Lei nº 8.078/1990), nas hipóteses em que a relação contratual for caracterizada como relação de consumo. Os direitos dos titulares de dados e dos consumidores brasileiros previstos nessas legislações são integralmente garantidos e prevalecem sobre qualquer disposição contratual em contrário. A eleição do foro do Estado de Delaware não afasta a competência da ANPD para fiscalizar e aplicar sanções em relação ao tratamento de Dados Pessoais Brasileiros, nos termos da LGPD, nem impede que titulares brasileiros
exerçam seus direitos perante as autoridades brasileiras competentes, incluindo o ajuizamento de ação perante o Poder Judiciário brasileiro.
Apêndice 1
>Exportador de dados
O exportador de dados é um indivíduo ou entidade que contratou a SendPulse para serviços de marketing por e-mail. As atividades relevantes para a transferência incluem boletins informativos, promoções, pesquisa de mercado, anúncios, ofertas, atualizações gerais e comunicações relacionadas aos serviços oferecidos pelo exportador de dados.
Importador de dados
O importador de dados é um provedor de serviços de e-mail que permite aos usuários armazenar, criar, enviar, direcionar e rastrear endereços de e-mail e campanhas de e mail.
Titulares dos dados
Os dados pessoais transferidos podem dizer respeito às seguintes categorias de titulares dos dados:
• clientes, clientes, potenciais clientes e clientes, estudantes, doadores e funcionários.
Categorias de dados
Os dados pessoais transferidos podem referir-se às seguintes categorias de dados: nome, sexo, data de nascimento, idioma, endereço de e-mail, número de telefone, endereço residencial, empregador, endereço comercial, cargo, especialização, outras informações demográficas, histórico de compras e evento comparecimento. Os dados não incluirão números de documentos de identificação nacional, senhas, credenciais de segurança ou informações pessoais confidenciais de qualquer tipo.
Operações de processamento
Os dados pessoais transferidos serão submetidos às seguintes atividades básicas de processamento: armazenamento; acesso ao atendimento ao cliente de acordo com o uso de recursos; detecção, prevenção e remediação de abuso; manutenção, melhoria e prestação de nossos serviços.
O exportador de dados autoriza expressamente o importador de dados a responder às seguintes solicitações recebidas diretamente dos titulares dos dados: cancelamentos, atualizações de informações, remoção de informações ou um bloqueio das informações desse titular de dados para que não sejam armazenados no sistema do importador de dados.
Subprocessadores
O exportador de dados consente com o subprocessamento pelos seguintes subcontratados:
• AMAZON WEB SERVICES INC.
• CONTABO INC.
• HETZNER LTD.
• VELIA.NET INTERNETDIENSTE GMBH
• OVH INC.
• GOOGLE LLC.
• SELECTEL LTD.
ou