Adendo de Tratamento de Dados Marzipan

Este Adendo de Tratamento de Dados ("DPA") complementa e é incorporado por referência ao Contrato celebrado entre a Marzipan e um Cliente, com base exclusiva nos Termos de Serviço da Marzipan, quando o Cliente se regista ou acede a qualquer um dos Serviços, incluindo, sem limitação:

1. o serviço de geração e alojamento de rótulos digitais de vinho fornecido pela Marzipan sob a designação comercial "Labls" em labls.io e labls.co (incluindo quaisquer subdomínios dos mesmos), concebido para produtores de vinho obrigados por lei a publicar informação correta e localizada, numa língua oficial da UE, sobre a origem e o conteúdo dos vinhos distribuídos na UE ao abrigo do Regulamento (UE) 2021/2117 (os "Serviços Labls");
2. a plataforma de comércio eletrónico e gestão de dados baseada na nuvem, fornecida pela Marzipan em marzipan.co (incluindo quaisquer subdomínios), que permite às adegas unificar as suas atividades de comércio eletrónico através da gestão de inventário, encomendas, fulfillment e envio, pagamentos, análises, campanhas de marketing e comunicações com clientes em todos os seus canais de venda digitais, a partir de um único painel de controlo central e sistema de gestão de conteúdos (os "Serviços da Plataforma").

Este DPA aplica-se na medida em que a Marzipan trate Dados Pessoais em nome de um Cliente, na qualidade de Subcontratante, no âmbito da prestação dos Serviços ao abrigo do Contrato. As categorias de Dados Pessoais tratados pela Marzipan no âmbito dos Serviços estão detalhadas na cláusula 4 deste DPA.

Uma vez que o Regulamento (UE) 2021/2117 proíbe as adegas e outros agentes do setor de tratar Dados Pessoais de consumidores através de rótulos eletrónicos de vinho que afixem nos seus produtos, a Marzipan concebeu o seu serviço de alojamento e geração de E-Labels em labls.io e labls.co de forma a que nenhum Dado Pessoal possa ser recolhido e rastreado pelo Cliente ou pela Marzipan em relação a um E-Label. Por conseguinte, este DPA não se aplica a este aspeto dos Serviços.

Os termos em maiúscula não definidos neste DPA têm o significado que lhes é atribuído no Contrato. Para efeitos de clareza, todas as referências ao "Contrato" incluem o presente DPA (incluindo os Anexos ao DPA e as SCCs). Em caso de conflito entre o Contrato e este DPA, o DPA prevalece no que respeita ao tratamento de Dados Pessoais.

1. Definições

   Afiliada

   designa uma entidade que, direta ou indiretamente, Controla, é Controlada por, ou se encontra sob Controlo comum com outra entidade.

   Finalidades Comerciais

   os Serviços a prestar pela Marzipan ao Cliente, conforme definidos no Contrato.

   Controlo

   designa uma participação na titularidade, direitos de voto ou interesse similar que represente cinquenta por cento (50%) ou mais da totalidade dos interesses então em circulação da entidade em questão. O termo "Controlada" deve ser interpretado em conformidade.

   Cliente

   a pessoa singular ou coletiva ou entidade que é parte no Contrato.

   Conta de Cliente

   qualquer conta(s) online registada(s) pelo Cliente nos Serviços que conceda(m) acesso autorizado aos Serviços.

   Dados do Cliente

   significa quaisquer Dados Pessoais que a Marzipan trate em nome do Cliente através dos Serviços.

   Legislação de Proteção de Dados

   significa quaisquer leis e regulamentos aplicáveis em qualquer jurisdição relevante relacionados com a utilização ou tratamento de Dados Pessoais, incluindo: (i) a California Consumer Privacy Act de 2018 ("CCPA"); (ii) o Regulamento Geral sobre a Proteção de Dados ((UE) 2016/279) ("RGPD da UE"); (iii) a Lei Federal Suíça sobre Proteção de Dados; (iv) o RGPD da UE tal como integra o direito de Inglaterra e País de Gales, Escócia e Irlanda do Norte por força da secção 3(10) (complementada pela secção 205(4)) da Lei de Proteção de Dados de 2018 ("UK GDPR"); (v) a Lei de Proteção de Dados de 2018 (e regulamentos aprovados nos termos da mesma) ("DPA 2018"); e (vi) o Privacy and Electronic Communications Regulations 2003 (SI 2003/2426), conforme alterado ("PECR 2003"); em cada caso, conforme atualizado, alterado ou substituído ao longo do tempo. Os termos "Responsável pelo Tratamento de Dados", "Subcontratante", "Titular dos Dados", "Pedido do Titular dos Dados", "Dados Pessoais", "Violação de Dados Pessoais", "Tratamento", "Subprocessador" e "Autoridade de Supervisão" têm os significados definidos no RGPD da UE.

   E-Label

   uma etiqueta eletrónica de vinho dedicada, alojada em labls.io e labls.co (ou num website de terceiros em nome da Marzipan), que compila informação estruturada (Conteúdo da e-label) sobre um produto de vinho ou vinho aromatizado de um Cliente para um mercado específico da UE numa das 24 línguas dos Estados-Membros da UE, e que cumpre os requisitos gerais e setoriais de rotulagem estabelecidos nos Regulamentos de Rotulagem de Vinho da UE.

   EEA

   o Espaço Económico Europeu.

   Clientes Finais

   os consumidores ou clientes empresariais a quem o Cliente propõe, comercializa ou fornece produtos ou serviços através dos Serviços.

   EU SCCs

   significa as cláusulas contratuais-tipo entre Responsáveis pelo Tratamento e Subcontratantes aprovadas pela Comissão Europeia na sua Decisão de Execução (UE) 2021/914 de 4 de junho de 2021, atualmente disponíveis aqui.

   Regulamentação da UE sobre Rotulagem de Vinhos

   as regras de rotulagem de vinhos e produtos à base de vinho aromatizado introduzidas pelo Regulamento (UE) 2021/2117 do Parlamento Europeu e do Conselho que altera o Regulamento (UE) n.º 1308/2013, incluindo na medida em que tais regras são implementadas e produzem efeitos ao abrigo do Regulamento Delegado (UE) 2019/33 da Comissão, de 17 de outubro de 2018, que complementa o Regulamento (UE) n.º 1308/2013/

   Transferência Ex-EEA

   significa a transferência de Dados do Cliente, tratados em conformidade com o RGPD da UE, para um servidor, rede, sistema informático, empresa, pessoa ou instalação situada fora do EEE, quando tal transferência não seja regida por uma decisão de adequação adotada pela Comissão Europeia nos termos do artigo 45.º do RGPD da UE.

   Transferência Ex-UK

   significa a transferência de Dados do Cliente, tratados em conformidade com o UK GDPR e a Lei de Proteção de Dados de 2018, para um servidor, rede, sistema informático, empresa, pessoa ou instalação situada fora do UK, quando tal transferência não seja regida por uma decisão de adequação do Secretário de Estado do UK nos termos das disposições relevantes do UK GDPR e da Lei de Proteção de Dados de 2018.

   Serviços Labls

   os serviços de criação, gestão e alojamento de e-labels fornecidos pela Marzipan em labls.io em regime de subscrição (ou outro) que permitem aos Clientes gerar, administrar e publicar E-Labels para os seus vinhos ou produtos à base de vinho aromatizado.

   Política de Privacidade da Marzipan

   significa o aviso de informação sobre o tratamento leal de dados disponibilizado pela Marzipan em marzipan.co/privacy, conforme alterado, substituído e/ou complementado ao longo do tempo.

   Serviços de Plataforma

   a plataforma cloud de e-commerce e gestão de dados fornecida pela Marzipan em marzipan.co que permite às adegas unificar as suas atividades de e-commerce através da gestão de inventário, encomendas, fulfillment e envios, pagamentos, análise de dados, campanhas de marketing e comunicações com clientes em todos os seus canais de venda digitais, a partir de uma interface de dashboard central e de um sistema de gestão de conteúdos.

   Incidente de Segurança

   qualquer violação de segurança não autorizada ou ilícita que conduza à destruição acidental ou ilícita, perda ou alteração de Dados do Cliente, ou à divulgação não autorizada ou acesso não autorizado a Dados do Cliente em sistemas geridos ou de outro modo controlados pela Marzipan.

   Prestador de Serviços

   tem o significado atribuído pela California Consumer Privacy Act de 2018 ("CCPA").

   Serviços

   designa, individual e coletivamente, os Serviços Labls e os Serviços de Plataforma.

   Dados de Categoria Especial

   tem os significados atribuídos nos Artigos 4.º(13), 4.º(14), 4.º(15) e 9.º do EU GDPR e do UK GDPR (conforme aplicável).

   Cláusulas Contratuais Padrão (SCCs)

   designa as EU SCCs e as UK SCCs, conforme aplicável.

   Adenda do Reino Unido

   designa o Anexo Internacional de Transferência de Dados (versão B1.0) emitido pelo Information Commissioner's Office ao abrigo do artigo 119.º-A do UK Data Protection Act 2018, conforme atualizado ou alterado periodicamente.

   UK SCCs

   designa as EU SCCs tal como revistas e alteradas pela Adenda do Reino Unido.

   Dados de Utilização

   quaisquer dados gerados no âmbito do acesso, utilização e configuração dos Serviços pelos Clientes, bem como dados deles derivados. Os Dados de Utilização não incluem quaisquer Dados do Cliente nem quaisquer Dados Pessoais.

2. Instruções do Cliente

   1. A Marzipan e o Cliente acordam que este DPA e o Contrato, juntamente com a configuração ou utilização pelo Cliente de quaisquer definições, funcionalidades ou opções nos Serviços (que o Cliente poderá modificar periodicamente), constituem as instruções documentadas por escrito do Cliente relativamente ao tratamento de Dados do Cliente pela Marzipan (incluindo para efeitos das UK SCCs) (as "Instruções Documentadas"). A Marzipan tratará os Dados do Cliente apenas em conformidade com as Instruções Documentadas. Instruções adicionais fora do âmbito das Instruções Documentadas (se existirem) requerem acordo prévio por escrito entre a Marzipan e o Cliente.
   2. A Marzipan tem o direito de resolver este DPA e o Contrato sem incorrer em qualquer responsabilidade perante o Cliente caso a Marzipan recuse seguir instruções que contrariem as Leis de Proteção de Dados ou quaisquer disposições aplicáveis em matéria de privacidade de dados dos Regulamentos da UE sobre Rotulagem de Vinhos, ou que estejam fora do âmbito das instruções fornecidas ou acordadas no presente DPA ou em qualquer outro acordo escrito entre as partes, ou que delas se afastem.
   3. O Cliente não fornecerá (nem fará com que sejam fornecidos) quaisquer Dados de Categoria Especial à Marzipan para tratamento ao abrigo do Contrato, e a Marzipan não terá qualquer responsabilidade relativamente a Dados de Categoria Especial, quer no âmbito de um Incidente de Segurança ou de outra forma. Para evitar dúvidas, este DPA não se aplicará a Dados de Categoria Especial.

3. Tratamento de Dados

   1. When Marzipan processes Customer Data while providing the Services, Marzipan will:

      (a)na medida em que o UK GDPR ou o EU GDPR seja aplicável, tratar os Dados do Cliente na qualidade de Subcontratante agindo em nome do Cliente (seja este um Responsável pelo Tratamento ou um Subcontratante em nome de um Responsável pelo Tratamento terceiro);

      (b)na medida em que a CCPA seja aplicável, tratar os Dados do Cliente agindo em nome do Cliente na qualidade de Prestador de Serviços (consulte a cláusula 3.2 abaixo para mais detalhes);

      (c)tratar e armazenar os Dados do Cliente apenas em servidores:

      a.operados pelo operador de centro de dados UpCloud Oy, uma sociedade de responsabilidade limitada finlandesa ("UpCloud"), no seu centro de dados DE-FRA1 em Frankfurt, Alemanha.

      b.operados pelo operador de centro de dados Scaleway SAS, uma sociedade por ações simplificada francesa ("Scaleway"), no seu centro de dados em Paris.

      c.operados pelo operador de centro de dados Hetzner Online GmbH, uma sociedade de responsabilidade limitada alemã ("Hetzner"), nos seus centros de dados em Nuremberga e Falkenstein, na Alemanha; e

      d.operados pelo fornecedor de armazenamento em nuvem BunnyWay d.o.o., uma sociedade de responsabilidade limitada eslovena ("BunnyWay"), na sua localização de servidor de borda em Nuremberga, Alemanha.

      (d)tratar os Dados do Cliente apenas na medida e de forma necessária para os Fins Comerciais, em conformidade com as Instruções Documentadas lícitas do Cliente (desde que tais instruções sejam proporcionais às funcionalidades dos Serviços adquiridos pelo Cliente ao abrigo do Contrato);

      (e)se a Marzipan for obrigada por lei a tratar os Dados do Cliente para qualquer finalidade que não as Finalidades Comerciais, a Marzipan notificará o Cliente desse requisito antes de realizar qualquer tratamento nesse âmbito, salvo se a Marzipan estiver legalmente impedida de o fazer;

      (f)cumprir prontamente quaisquer instruções escritas lícitas fornecidas pelo Cliente que exijam que a Marzipan altere, transfira, elimine ou trate de outro modo os Dados do Cliente, ou que cesse, mitigue ou remedeie qualquer tratamento não autorizado;

      (g)manter a confidencialidade dos Dados do Cliente e não divulgá-los a terceiros, salvo autorização expressa do Cliente ou deste DPA, ou conforme exigido pela legislação nacional, tribunal ou regulamentação aplicável (incluindo qualquer instrução do Comissário do ICO do UK ou de outra autoridade competente no UK e/ou no EEE);

      (h)prestar assistência razoável ao Cliente, sem custos adicionais para o Cliente, no cumprimento das suas obrigações de conformidade ao abrigo das Leis de Proteção de Dados, tendo em conta a natureza do tratamento realizado pela Marzipan e as informações disponíveis à Marzipan, incluindo, a título meramente exemplificativo, o fornecimento ao Cliente de informações razoáveis que o auxiliem na realização de quaisquer avaliações de impacto sobre a proteção de dados e na resposta a pedidos dos titulares dos dados; e

      (i)notificar prontamente o Cliente de quaisquer alterações às Leis de Proteção de Dados que possam ser razoavelmente interpretadas como afetando negativamente o cumprimento, por parte da Marzipan, das suas obrigações ao abrigo do Contrato ou deste DPA.

   2. CCPA. As partes reconhecem e acordam que a Marzipan é um Prestador de Serviços relativamente aos Dados do Cliente para efeitos da CCPA (na medida em que esta seja aplicável) e que recebe informações pessoais do Cliente para prestação dos Serviços ao abrigo do Contrato, o que constitui uma finalidade comercial. A Marzipan não procederá à venda de quaisquer dessas informações pessoais. A Marzipan não reterá, utilizará nem divulgará quaisquer informações pessoais fornecidas pelo Cliente ao abrigo do Contrato, exceto na medida necessária para a finalidade específica de prestação dos Serviços ao Cliente ao abrigo do presente Contrato, ou conforme de outro modo estabelecido no presente Contrato ou permitido pela CCPA. Os termos "informações pessoais", "Prestador de Serviços", "venda" e "vender" terão o significado previsto na Secção 1798.140 da CPA (conforme alterada, reaprovada ou atualizada periodicamente). A Marzipan declara compreender as restrições previstas nesta cláusula (i).
   3. Serviços de Terceiros. No âmbito dos Serviços, a Marzipan oferece ao Cliente a possibilidade de integrar e/ou interligar os Serviços com determinados serviços, integrações e aplicações de terceiros, periodicamente ("Serviços de Terceiros"). Note-se que a utilização dos Serviços de Terceiros pelo Cliente será, em cada caso, exclusivamente regida pelos termos e condições e pelas políticas de privacidade que os acompanham (conjuntamente, o "EULA") segundo os quais o Fornecedor de Serviços de Terceiros disponibiliza ao Cliente os Serviços de Terceiros relevantes (o "Fornecedor de Serviços de Terceiros"). Cada EULA é celebrado exclusivamente entre o Cliente e o Fornecedor de Serviços de Terceiros, não sendo a Marzipan parte nesses EULAs.
   4. Quando o Cliente nos instruir a integrar os produtos ou contas Marzipan do Cliente com um ou mais Serviços de Terceiros, o Cliente concorda que a Marzipan transferirá os Dados do Cliente para os Fornecedores de Serviços de Terceiros para que estes possam prestar os seus serviços ao Cliente. Sempre que os Fornecedores de Serviços de Terceiros procedam subsequentemente ao tratamento dos Dados do Cliente, tal será regido pelas disposições de privacidade relevantes constantes do respetivo EULA, não sendo a Marzipan responsável por esse tratamento.
   5. Third-Party Services from the following Third-Party Service Providers are currently available to be integrated and/or interfaced with Marzipan.

      Name	Description
      Fathom Analytics	This integration allows Customers who are subscribed to Fathom Analytics’ web analytics service to view their Fathom Analytics dashboard within Marzipan’s e-commerce and data management platform. All EEA and UK traffic processed via the integration is processed solely on EU servers owned and operated by the German cloud service provider etzner Online GmbH, a German legal entity.
      MailChimp	This integration allows Customers who are subscribed to MailChimp’s email marketing service to send data to MailChimp to enable the Customer to send emails to their subscribers.

   6. Note-se que, sempre que a Marzipan permitir ao Cliente integrar os Serviços com qualquer Serviço de Terceiros não identificado na tabela acima, a utilização de tal Serviço de Terceiros pelo Cliente será regida pelo EULA aplicável do respetivo Fornecedor de Serviços de Terceiros, nos mesmos termos previstos na cláusula (i) do presente Contrato.
   7. SCCs. Caso a Marzipan e o Cliente tenham celebrado Cláusulas Contratuais-Tipo conforme descrito na cláusula 10 (Transferências de Dados do Cliente), (i) a instrução do Cliente à Marzipan ao abrigo da cláusula 3.3 do presente Contrato para integrar o(s) Serviço(s) de Terceiros (conforme aplicável) como parte dos Serviços constituirá o consentimento prévio por escrito do Cliente para a transferência de Dados do Cliente pela Marzipan para o Fornecedor de Serviços de Terceiros, caso tal consentimento seja exigido ao abrigo das SCCs; (ii) as partes acordam que as cópias dos acordos celebrados com Fornecedores de Serviços de Terceiros que a Marzipan deva fornecer ao Cliente ao abrigo da Cláusula 9(c) das SCCs da UE ou de qualquer cláusula relevante das SCCs do UK (conforme aplicável) poderão ter informações comerciais, ou informações não relacionadas com as Cláusulas Contratuais-Tipo ou o seu equivalente, previamente removidas pela Marzipan, e que tais cópias redigidas serão fornecidas pela Marzipan apenas mediante pedido escrito do Cliente.
   8. The Customer’s responsibilities. The Customer:

      (a)será o Responsável pelo Tratamento dos Dados em relação a quaisquer Dados do Cliente;

      (b)continuará a ser responsável pelo cumprimento das suas obrigações ao abrigo das Leis de Proteção de Dados aplicáveis, incluindo, sem limitação, a prestação de quaisquer avisos exigidos e a obtenção de quaisquer consentimentos necessários para que a Marzipan trate os Dados do Cliente para as Finalidades Comerciais;

      (c)não fornecerá (nem permitirá que sejam fornecidos) à Marzipan quaisquer Dados de Categorias Especiais para tratamento ao abrigo do Contrato, não assumindo a Marzipan qualquer responsabilidade relativamente a Dados de Categorias Especiais, seja em conexão com um Incidente de Segurança ou de outro modo. Para efeitos de clareza, o presente DPA não se aplicará a Dados de Categorias Especiais;

      (d)declara e garante que cumpriu, e continuará a cumprir, toda a legislação aplicável, incluindo as Leis de Proteção de Dados, relativamente ao tratamento dos Dados do Cliente e a quaisquer Instruções Documentadas que emita à Marzipan;

      (e)será o único responsável pela exatidão, qualidade e licitude dos Dados do Cliente e pelos meios através dos quais o Cliente obteve os Dados do Cliente. Sem prejuízo da generalidade do exposto, o Cliente concorda que será responsável pelo cumprimento de toda a legislação aplicável (incluindo as Leis de Proteção de Dados) a qualquer conteúdo criado, enviado ou gerido através dos Serviços;

      (f)garantirá que o tratamento dos Dados do Cliente pela Marzipan em conformidade com as Instruções Documentadas do Cliente não levará a Marzipan a violar qualquer lei, regulamento ou norma aplicável, incluindo, sem limitação, as Leis de Proteção de Dados. A Marzipan notificará prontamente o Cliente por escrito, salvo se tal for proibido pelas Leis de Proteção de Dados, caso tome conhecimento ou considere que qualquer instrução de tratamento de dados do Cliente viola as Leis de Proteção de Dados; e

      (g)na medida em que atue como subcontratante em nome de um responsável pelo tratamento terceiro (ou outro intermediário do responsável final pelo tratamento), garante que as suas Instruções Documentadas constantes do Contrato e do presente DPA, incluindo as suas autorizações à Marzipan para a nomeação de Subcontratantes em conformidade com o presente DPA, foram autorizadas pelo responsável pelo tratamento relevante.

4. Tipos de Dados do Cliente e Finalidades do Tratamento

   1. Objeto. O objeto do tratamento de dados ao abrigo do presente DPA são os Dados do Cliente tratados através dos Serviços.
   2. Duração. Entre a Marzipan e o Cliente, é o Cliente quem determina a duração do tratamento de dados ao abrigo do presente DPA. O Cliente pode suspender ou cessar o tratamento de dados mediante a suspensão ou rescisão da subscrição dos Serviços da Plataforma e/ou dos Serviços Labls (conforme aplicável) ou mediante a suspensão de quaisquer integrações alojadas pela Marzipan (como qualquer API proprietária que a Marzipan disponibilize ao Cliente) que o Cliente utilize no âmbito das suas operações.
   3. Finalidade. A finalidade do tratamento de dados ao abrigo do presente DPA é a prestação dos Serviços iniciada pelo Cliente periodicamente, incluindo, a título meramente exemplificativo, a disponibilização da plataforma de e-commerce e gestão de dados da Marzipan e/ou do serviço de geração e alojamento de E-Labels ao Cliente.
   4. Natureza do tratamento. A Marzipan permite que as empresas unifiquem as suas atividades de e-commerce e gerem E-Labels para os seus produtos vínicos, nomeadamente através da prestação dos "Serviços" conforme definidos na cláusula 1 do presente DPA. Estes Serviços incluem o tratamento de Dados do Cliente pela Marzipan, pelos seus Subcontratantes e, conforme aplicável, pelos Fornecedores de Serviços de Terceiros. Os Dados do Cliente podem ser carregados e/ou tratados nos Serviços pelo Cliente na Conta do Cliente, através de qualquer API que a Marzipan disponibilize e que se interliga com os Serviços periodicamente; e (iii) através de quaisquer Serviços de Terceiros que partilhem Dados do Cliente com os Serviços.
   5. Types of Customer Data. Customer Data uploaded to the Services:

      (a)pelo Cliente na Conta do Cliente;

      (b)através de quaisquer APIs ou componentes web da Marzipan que interliguem os Serviços com os sistemas do Cliente; e

      (c)através de quaisquer Serviços de Terceiros que o Cliente integre com os Serviços.

      Os tipos de Dados Pessoais carregados nos Serviços como parte dos Dados do Cliente podem incluir:

      • Nome, e-mail, informações de contacto, faturação e envio do Cliente.
      • Informações de compra, subscrição (ou seja, clube de vinhos) e outras transações (incluindo, sem limitação, informações de estado) das lojas físicas e digitais do Cliente;
      • Atividade do Cliente Final nas lojas digitais do Cliente, incluindo histórico de encomendas, produtos visualizados e produtos incluídos em carrinhos de compras.
      • Informações do dispositivo do Cliente Final para dispositivos utilizados ao visitar as lojas do Cliente, incluindo endereço IP, browser e atividade de rede.
      • Quaisquer outros Dados Pessoais que o Cliente opte por disponibilizar ao Marzipan.
   6. Categorias de Titulares de Dados. O Titular dos Dados pode incluir (i) o Cliente, os seus funcionários, contratados, agentes, fornecedores e prestadores de serviços e (ii) os Clientes Finais reais e potenciais do Cliente.

5. Segurança do Tratamento de Dados

   1. O Marzipan deverá, em todos os momentos, implementar medidas técnicas e organizacionais adequadas contra o tratamento, acesso, cópia, modificação, reprodução, exibição ou distribuição não autorizados ou ilícitos dos Dados do Cliente, e contra a perda, destruição, alteração, divulgação ou dano acidental ou ilícito dos Dados do Cliente, incluindo, mas não se limitando, às medidas descritas nas Normas de Segurança do Marzipan (Anexo A), em cada caso para garantir um nível de segurança dos Dados do Cliente adequado ao risco, em conformidade com o Artigo 32.º do GDPR EU/UK.
   2. Marzipan shall implement such measures to ensure a level of security appropriate to the risk involved, including as appropriate:

      (a)a pseudonimização e encriptação dos Dados do Cliente;

      (b)a capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas e serviços de tratamento;

      (c)a capacidade de restaurar a disponibilidade e o acesso aos Dados do Cliente em tempo útil em caso de incidente físico ou técnico; e

      (d)um processo de teste, avaliação e verificação regulares da eficácia das medidas de segurança.

6. Colaboradores da Marzipan

   1. Marzipan will ensure its employees, contractors and agents:

      (a)são informados da natureza confidencial dos Dados do Cliente e estão vinculados por obrigações de confidencialidade e restrições de utilização relativamente aos Dados do Cliente;

      (b)receberam formação sobre as Leis de Proteção de Dados relativas ao tratamento de Dados do Cliente e à sua aplicação às respetivas funções; e

      (c)têm conhecimento tanto dos deveres do Marzipan como dos seus deveres e obrigações pessoais ao abrigo das Leis de Proteção de Dados e do Contrato.

7. Segurança

   1. O Marzipan deverá sempre implementar medidas técnicas e organizacionais adequadas contra o tratamento, acesso, cópia, modificação, reprodução, exibição ou distribuição não autorizados ou ilícitos dos Dados do Cliente, e contra a perda, destruição, alteração, divulgação ou dano acidental ou ilícito dos Dados do Cliente.
   2. Marzipan shall implement such measures to ensure a level of security appropriate to the risk involved, including for illustrative purposes and as appropriate:

      (a)a pseudonimização e encriptação dos Dados do Cliente;

      (b)a capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência contínuas dos sistemas e serviços de tratamento;

      (c)a capacidade de restaurar a disponibilidade e o acesso aos Dados do Cliente em tempo útil em caso de incidente físico ou técnico; e

      (d)um processo de teste, avaliação e verificação regulares da eficácia das medidas de segurança.

8. Violação de Dados Pessoais

   1. Marzipan shall within 72 hours and in any event without undue delay notify the Customer if it becomes aware of:

      (a)a perda, destruição ou dano não intencional, corrupção ou qualquer outra forma de comprometimento de parte ou da totalidade dos Dados do Cliente;

      (b)qualquer tratamento acidental, não autorizado ou ilícito dos Dados do Cliente; ou

      (c)qualquer Violação de Dados Pessoais.

   2. Where Marzipan becomes aware of any of the foregoing matters described in clauses 8.1(a), (b) and/or (c) above, it shall, without undue delay, also provide the Customer with the following:

      (a)uma descrição da natureza da ocorrência registada em relação às cláusulas 8.1(a), (b) e/ou (c), incluindo as categorias de Dados do Cliente em causa e o número aproximado de Titulares de Dados e registos de Dados do Cliente afetados; ou

      (b)uma descrição das medidas tomadas ou previstas para fazer face às ocorrências registadas em relação às cláusulas 8.1(a), (b) e/ou (c), incluindo medidas para mitigar os seus possíveis efeitos adversos.

   3. Imediatamente após qualquer tratamento acidental, não autorizado ou ilícito de Dados do Cliente ou Violação de Dados Pessoais, o Marzipan entrará em contacto com o Cliente para que possamos coordenar a nossa investigação da ocorrência.
   4. A Marzipan não informará qualquer terceiro sobre qualquer tratamento acidental, não autorizado ou ilícito de toda ou parte dos Dados do Cliente e/ou de uma Violação de Dados Pessoais sem primeiro obter o consentimento escrito do Cliente, exceto quando tal divulgação seja necessária como parte das medidas necessárias para fazer face a esse tratamento ou Violação de Dados Pessoais, ou quando tal divulgação seja exigida pela legislação aplicável.
   5. A Marzipan cobrirá as despesas razoáveis associadas ao cumprimento das suas obrigações ao abrigo das cláusulas 8.1 e 8.2, exceto quando a situação tenha resultado de instruções escritas específicas do Cliente, negligência, incumprimento doloso ou violação do DPA ou do Contrato, caso em que o Cliente cobrirá todas as despesas razoáveis (incluindo as despesas razoáveis da Marzipan e dos seus consultores profissionais).

9. Subprocessadores

   1. Marzipan uses the following Sub-processors to host and/or process Customer Data, to provide infrastructure and network services to support Marzipan, and to perform service functions on our behalf as part of the Services:

      Name	Description
      Active Campaign LLC	Trading as "Postmark", Active Campaign delivers transactional emails (e.g. password reset emails, notification emails, receipt and invoice emails) on behalf of Marzipan as part of the Services.
      Automattic, Inc.	Trading as "Gravatar." Automattic allows Customers to upload pre-existing image and public profile data to the Platform Services.
      BunnyWay d.o.o	BunnyWay provides Marzipan with Domain Name System (DNS), Website Application Firewall (WAF) and Content Delivery Network (CDN) services.
      Fathom Analytics	Fathom Analytics provides web analytics services that enable Marzipan to track and analyse web traffic’s engagement with the Services.
      Functional Software Inc.	Trading as "Sentry", Functional Software provides Marzipan with crash and error monitoring services in respect of the Services.
      Internet Security Research Group	ISRG’s "Let’s Encrypt" service provides Marzipan with the digital certificate necessary to enable HTTPS (SLS/TLS) on its websites.
      Laravel Holdings Inc.	Laravel provides Marzipan with its: (i) "Forge" server management services in relation to the provisioning and deployment of the Services on Hetzner Online GmbH’s servers; and (ii) "Envoyer" zero downtime deployment services.
      OhMySMTP Ltd	OhMySMTP, trading as "MailPace", provides Marzipan with email services for sending transactional emails (e.g. password reset emails, notification emails, order confirmation emails) on behalf of Marzipan as part of the Services.
      PayPal UK Ltd	PayPal provides Marzipan with authorised payment gateway and payment processing services in respect of payload and payment data submitted to the Services.
      Stripe Payments UK, Ltd.	Stripe provides Marzipan with authorised payment gateway and payment processing services in respect of payload and payment data submitted to the Services.

   2. O Cliente autoriza-nos a utilizar os Subprocessadores listados na cláusula 9.1 acima como parte dos Serviços, e concede-nos ainda autorização geral para utilizar outros Subprocessadores para realizar atividades de tratamento relativamente aos Dados do Cliente que recolhemos do Cliente ao abrigo do Contrato. A Marzipan notificará o Cliente caso adicione ou remova Subprocessadores com pelo menos 10 dias de antecedência em relação a quaisquer alterações.
   3. Where Marzipan engages a Sub-processor as described in clause 9.1:

      (a)A Marzipan restringirá o acesso do Subprocessador a quaisquer dados apenas ao que for razoavelmente necessário para prestar, manter ou melhorar os Serviços; e

      (b)A Marzipan celebrará um acordo escrito de tratamento de dados com o Subprocessador e, na medida em que o Subprocessador execute os mesmos serviços de tratamento de dados prestados pela Marzipan ao abrigo deste DPA, a Marzipan imporá ao Subprocessador as mesmas obrigações contratuais que a Marzipan tem neste documento.

   4. If Marzipan and the Customer have entered into Standard Contractual Clauses as described in clause 10 (Transfers of Customer Data):

      (a)as autorizações acima referidas constituirão o consentimento prévio escrito do Cliente para a subcontratação, pela Marzipan, do tratamento dos Dados do Cliente, caso tal consentimento seja exigido pelas SCCs;e

      (b)A Marzipan celebrará um acordo escrito de tratamento de dados com o Subprocessador e, na medida em que o Subprocessador execute os mesmos serviços de tratamento de dados prestados pela Marzipan ao abrigo deste DPA, a Marzipan imporá ao Subprocessador as mesmas obrigações contratuais que a Marzipan tem neste documento.

   5. If Marzipan and the Customer have entered into Standard Contractual Clauses as described in clause 10 (Transfers of Customer Data):

      (a)as autorizações acima referidas constituirão o consentimento prévio escrito do Cliente para a subcontratação, pela Marzipan, do tratamento dos Dados do Cliente, caso tal consentimento seja exigido pelas SCCs; e

      (b)as Partes acordam que as cópias dos acordos com os Subprocessadores que a Marzipan deva fornecer ao Cliente nos termos da Cláusula 9(c) das SCCs da EU ou de qualquer cláusula relevante das SCCs do UK (conforme aplicável) poderão ter informações comerciais, ou informações não relacionadas com as Cláusulas Contratuais-Tipo ou equivalentes, removidas pela Marzipan previamente, e que tais cópias redigidas serão fornecidas pela Marzipan apenas mediante pedido escrito do Cliente.

10. Transferências de Dados do Cliente

    1. As partes acordam que a Marzipan poderá transferir Dados do Cliente tratados ao abrigo do Contrato para fora do EEE, do UK ou da Suíça, conforme necessário para a prestação dos Serviços. O Cliente reconhece que as operações de tratamento de muitos dos Prestadores de Serviços de Terceiros e Subprocessadores ocorrem nos Estados Unidos, e que a transferência dos Dados do Cliente é necessária para a prestação dos Serviços ao Cliente. Caso a Marzipan transfira Dados do Cliente protegidos ao abrigo deste Contrato para uma jurisdição para a qual a Comissão Europeia ou o Secretário de Estado do UK (conforme aplicável) não tenha emitido uma decisão de adequação, a Marzipan assegurará que foram implementadas salvaguardas adequadas para a transferência de Dados do Cliente em conformidade com a Legislação de Proteção de Dados.
    2. Ex-EEA Transfers. The parties agree that ex-EEA Transfers are made pursuant to Module Two (Controller to Processor) of the EU SCCs which is deemed entered (and incorporated into this DPA) and which shall apply as follows (unless stated otherwise, references to clause numbers are references to clause numbers of Module Two of the EU SCCs):

       (a)A cláusula de adesão opcional prevista na Cláusula 7 não se aplica;

       (b)Na Cláusula 9, aplica-se a Opção 2 (autorização escrita geral), e o período mínimo de pré-aviso para alterações de Subprocessadores será o estabelecido na cláusula 9.2 deste DPA;

       (c)Na Cláusula 11, a redação opcional não se aplica;

       (d)Todos os parênteses retos na Cláusula 12 são aqui removidos;

       (e)Na Cláusula 17 (Opção 10, as SCCs da EU serão regidas pelo direito irlandês);

       (f)Na Cláusula 18(b), os litígios serão resolvidos pelos tribunais da Irlanda;

       (g)A Parte 1 do Anexo B ("Transferências Transfronteiriças") a este DPA contém as informações exigidas no Anexo I das SCCs da EU;

       (h)A Parte 1 do Anexo B ("Transferências Transfronteiriças") a este DPA contém as informações exigidas no Anexo II das SCCs da EU;

       (i)Ao celebrar este DPA, considera-se que as partes assinaram as SCCs da EU nele incorporadas, incluindo os respetivos Anexos.

    3. Ex-UK Transfers

       (a)As partes acordam que o IDTA DPA se aplica a uma Transferência ex-UK. A Parte 2 do Anexo B ("Transferências Transfronteiriças") contém as informações exigidas no IDTA DPA.

    4. Transfers from Switzerland. The parties agree that transfers from Switzerland are made pursuant to the EU SCCs with the following modifications:

       (a)Os termos "Regulamento Geral de Proteção de Dados" ou "Regulamento (UE) 2016/679" utilizados nas SCCs da EU serão interpretados de forma a incluir a Lei Federal de Proteção de Dados de 19 de junho de 2022 (a "FADP"), e tal como revista a 25 de setembro de 2020, a "FADP Revista") relativamente a transferências de dados sujeitas à FADP.

       (b)Os termos das SCCs da EU serão interpretados de forma a proteger os dados de pessoas coletivas até à entrada em vigor da FADP Revista.

       (c)A Cláusula 13 das SCCs da EU é alterada para estabelecer que o Comissário Federal de Proteção de Dados e Informação ("FDPIC") da Suíça terá autoridade sobre as transferências de dados reguladas pela FADP, e a Autoridade de Supervisão da EU competente terá autoridade sobre as transferências de dados reguladas pelo GDPR da EU. Sem prejuízo do disposto, todos os demais requisitos da Cláusula 13 das SCCs da EU deverão ser observados.

       (d)O termo "Estado-Membro da EU" utilizado nas SCCs da EU não será interpretado de forma a excluir os Titulares de Dados na Suíça do exercício dos seus direitos no lugar da sua residência habitual, em conformidade com a Cláusula 18(c) das SCCs da EU.

    5. Supplementary Measures. In respect of any ex-EEA Transfer or ex-UK Transfer, the following supplementary measures shall apply:

       (a)À data deste DPA, o Importador de Dados não recebeu quaisquer pedidos legais formais de qualquer serviço ou agência de informações ou segurança governamental do país para o qual os Dados do Cliente estão a ser exportados, para acesso (ou cópias) dos Dados do Cliente ("Pedidos de Agências Governamentais");

       (b)Se, após a data deste DPA, o Importador de Dados receber quaisquer Pedidos de Agências Governamentais, a Marzipan tentará redirecionar as autoridades policiais ou a agência governamental para que solicitem os dados diretamente ao Cliente. No âmbito deste esforço, o Cliente concorda que poderemos fornecer as informações de contacto básicas do Cliente à agência governamental. Se for obrigada a divulgar os Dados do Cliente a uma autoridade policial ou agência governamental, a Marzipan dará ao Cliente um aviso razoável da solicitação e cooperará para permitir que o Cliente obtenha uma ordem de proteção ou outro recurso adequado, salvo se a Marzipan estiver legalmente impedida de o fazer. A Marzipan não divulgará voluntariamente os Dados do Cliente a qualquer autoridade policial ou agência governamental. A Marzipan deverá (assim que razoavelmente praticável) discutir e determinar se todas ou algumas das transferências de Dados do Cliente ao abrigo deste DPA devem ser suspensas à luz de quaisquer Pedidos de Agências Governamentais;

       (c)Marzipan and the Data Exporter will meet regularly to consider whether:

       a.A proteção conferida pelas leis do país do Importador de Dados aos titulares de dados cujos Dados Pessoais estão a ser transferidos como parte dos Dados do Cliente é suficiente para proporcionar uma proteção amplamente equivalente à conferida no EEA ou no UK, consoante o caso;

       b.São razoavelmente necessárias medidas adicionais para que a transferência esteja em conformidade com a Legislação de Proteção de Dados;

       c.Continua a ser adequada a transferência dos Dados do Cliente para o Importador de Dados relevante, tendo em consideração toda a informação pertinente disponível para as partes, bem como as orientações fornecidas pelas Autoridades de Supervisão.

       (d)Se as Leis de Proteção de Dados exigirem que a Marzipan celebre as Cláusulas Contratuais Padrão aplicáveis a uma determinada transferência de Dados do Cliente para um Importador de Dados como Contrato separado, o Importador de Dados deverá, a pedido da Marzipan, celebrar prontamente tais Cláusulas Contratuais Padrão, incorporando as alterações que a Marzipan razoavelmente exija para refletir os anexos aplicáveis, os detalhes da transferência e os requisitos das Leis de Proteção de Dados; e

       (e)Se (i) qualquer dos meios de legitimação das transferências para fora do EEA, UK ou Suíça estabelecidos neste DPA deixar de ser válido; ou (ii) qualquer Autoridade de Supervisão exigir a suspensão das transferências de Dados do Cliente ao abrigo desses meios, o Importador de Dados poderá, mediante notificação à Marzipan, com efeito a partir da data indicada nessa notificação, alterar ou estabelecer disposições alternativas em relação a tais transferências, conforme exigido pelas Leis de Proteção de Dados.

    6. Subprocessadores. Quando o Cliente consente na nossa designação de um Subprocessador localizado fora do EEA em conformidade com as disposições da cláusula 9, ou quando o Cliente opta por integrar um Serviço de Terceiros de um Fornecedor de Serviços de Terceiros fora do EEA em conformidade com a cláusula 3, o Cliente autoriza-nos a celebrar CCPs com essa parte, incluindo em nome do Cliente e por conta do Cliente.

11. Reclamações, Pedidos de Titulares de Dados e Direitos de Terceiros

    1. Marzipan will take such reasonable technical and organisational measures as appropriate, and promptly provide such information to the Customer as the Customer may require, to enable the Customer to comply with:

       (a)the rights of Data Subjects under the Data Protection Laws, including subject access rights, the rights to rectify, port and erase Customer Data, object to the processing and automated processing of Customer Data, and restrict the processing of Customer Data; and/p>

       (b)avisos de informação ou avaliação notificados ao Cliente pelo UK ICO (ou qualquer outro regulador relevante no EEA) ao abrigo das Leis de Proteção de Dados.

    2. A Marzipan notificará imediatamente o Cliente por escrito caso receba qualquer reclamação, aviso ou comunicação que se relacione direta ou indiretamente com o tratamento dos Dados do Cliente ou com o cumprimento das Leis de Proteção de Dados por parte da Marzipan ou do Cliente.
    3. A Marzipan notificará o Cliente no prazo de 14 dias caso receba um pedido de um Titular de Dados para aceder aos seus Dados do Cliente ou para exercer quaisquer outros direitos ao abrigo das Leis de Proteção de Dados.
    4. A Marzipan prestará ao Cliente a sua assistência na resposta a qualquer reclamação, aviso, comunicação ou pedido de Titular de Dados.
    5. A Marzipan não divulgará os Dados do Cliente a qualquer Titular de Dados ou a terceiros, exceto em conformidade com as instruções escritas do Cliente, ou conforme exigido pela lei nacional.

12. Vigência e Rescisão

    1. This DPA will remain in full force and effect so long as:

       (a)o Contrato se mantiver em vigor; ou

       (b)a Marzipan conservar quaisquer Dados do Cliente relacionados com o Contrato na sua posse ou controlo (o "Prazo").

    2. Qualquer disposição deste DPA que, expressa ou implicitamente, deva entrar em vigor ou manter-se em vigor após a rescisão do Contrato para proteção dos Dados do Cliente permanecerá em pleno vigor e efeito.
    3. O incumprimento pela Marzipan dos termos deste DPA constitui uma violação material do Contrato. Nesse caso, o Cliente poderá rescindir o Contrato com efeito imediato mediante notificação escrita à Marzipan, sem incorrer em responsabilidades ou obrigações adicionais.
    4. Se uma alteração nas Leis de Proteção de Dados impedir qualquer das partes de cumprir todas ou parte das suas obrigações contratuais, as partes poderão acordar suspender o tratamento dos Dados do Cliente até que esse tratamento esteja em conformidade com os novos requisitos. Se as partes não conseguirem colocar o tratamento dos Dados do Cliente em conformidade com as Leis de Proteção de Dados no prazo de 90 dias, qualquer das partes poderá rescindir o Contrato com efeito imediato mediante notificação escrita à outra parte.

13. Devolução e Destruição de Dados

    1. A pedido do Cliente, a Marzipan fornecerá ao Cliente, ou a um terceiro designado por escrito pelo Cliente, uma cópia ou acesso a todos ou parte dos Dados do Cliente na sua posse ou controlo, no formato e suporte razoavelmente especificados pelo Cliente.
    2. Aquando da rescisão ou expiração do Contrato por qualquer motivo, ou após a conclusão dos Serviços, a Marzipan devolverá ou eliminará os Dados do Cliente, salvo se a conservação adicional dos Dados do Cliente for exigida ou autorizada pela lei aplicável. Se a devolução ou destruição for impraticável ou proibida por lei, norma ou regulamento, a Marzipan tomará medidas para bloquear esses Dados do Cliente de qualquer tratamento adicional (exceto na medida necessária para o seu alojamento ou tratamento contínuos exigidos por lei, norma ou regulamento) e continuará a proteger adequadamente os Dados do Cliente que permaneçam na sua posse, custódia ou controlo. Se a Marzipan e o Cliente tiverem celebrado Cláusulas Contratuais Padrão conforme descrito na cláusula 10 (Transferências de Dados do Cliente), as partes acordam que a certificação de eliminação exigida ao abrigo da Cláusula 8.1(d) das SCCs da EU e de qualquer disposição aplicável das SCCs do UK (conforme aplicável) será fornecida pela Marzipan ao Cliente apenas mediante pedido escrito do Cliente.
    3. Se qualquer lei, regulamento ou organismo governamental ou regulador exigir que a Marzipan conserve quaisquer documentos, materiais ou Dados do Cliente que de outro modo seria obrigada a devolver ou destruir, notificará o Cliente por escrito desse requisito de conservação, indicando os detalhes dos documentos, materiais ou Dados do Cliente que deve conservar, o fundamento legal da conservação e estabelecendo um prazo específico para a eliminação ou destruição após o término do requisito de conservação.
    4. A Marzipan certificará por escrito ao Cliente que destruiu os Dados do Cliente no prazo de 30 dias após a conclusão da eliminação ou destruição.

14. Registos

    1. A Marzipan manterá registos escritos detalhados, precisos e atualizados relativamente a qualquer tratamento dos Dados do Cliente, incluindo, entre outros, o acesso, controlo e segurança dos Dados do Cliente, subcontratantes aprovados, as finalidades do tratamento, as categorias de tratamento, quaisquer transferências de Dados do Cliente para um país terceiro e as respetivas salvaguardas, bem como uma descrição geral das medidas técnicas e organizativas de segurança implementadas (os "Registos")
    2. A Marzipan garantirá que os Registos são suficientes para permitir ao Cliente verificar o cumprimento das obrigações da Marzipan ao abrigo deste Contrato, e a Marzipan facultará ao Cliente cópias dos Registos mediante pedido.

15. Garantias

    1. TMarzipan warrants and represents that:

       (a)os seus colaboradores, subcontratantes, agentes e quaisquer outras pessoas que acedam aos Dados do Cliente em seu nome são fiáveis e de confiança e receberam a formação exigida ao abrigo das Leis de Proteção de Dados;

       (b)ela própria e qualquer pessoa que atue em seu nome tratará os Dados do Cliente em conformidade com as Leis de Proteção de Dados e demais legislação, diplomas, regulamentos, ordens, normas e outros instrumentos similares;

       (c)não tem razão para crer que as Leis de Proteção de Dados a impedem de prestar qualquer um dos serviços contratados ao abrigo do Contrato; e

       (d)tendo em conta o atual ambiente tecnológico e os custos de implementação, adotará as medidas técnicas e organizativas adequadas para prevenir o tratamento não autorizado ou ilícito dos Dados do Cliente e a perda acidental ou a destruição ou dano dos Dados do Cliente, assegurando um nível de segurança adequado a:

       (i)o dano que possa resultar de tal tratamento não autorizado ou ilícito ou de perda acidental, destruição ou dano;

       (ii)a natureza dos Dados do Cliente a proteger; e

       (iii)cumprir todas as Leis de Proteção de Dados aplicáveis e as suas políticas de informação e segurança.

16. Celebração e Alterações

    1. Os termos deste DPA são incorporados por referência no Contrato e fazem parte integrante do mesmo como se nele estivessem integralmente transcritos. Ao celebrar o Contrato, o Cliente reconhece e aceita expressamente que ficará vinculado pelos termos deste DPA.
    2. A Marzipan poderá, mediante aviso prévio escrito de trinta (30) dias de calendário, introduzir quaisquer alterações razoáveis a este DPA que se mostrem necessárias em virtude de qualquer alteração nas Leis de Proteção de Dados ou de decisão de uma autoridade competente ao abrigo das mesmas, de modo a permitir que o tratamento dos Dados do Cliente seja efetuado (ou continue a ser efetuado) sem violação das Leis de Proteção de Dados. Caso o Cliente não concorde com tais alterações, poderá, durante o referido prazo de aviso de trinta (30) dias de calendário, notificar por escrito a Marzipan para resolver o Contrato (incluindo o presente DPA) com efeitos imediatos, na medida em que este se relacione com os Serviços afetados pelas alterações propostas (ou pela falta das mesmas). O Cliente pagará à Marzipan todos os honorários e demais montantes incorridos ao abrigo ou em conexão com o Contrato antes da data de resolução e que se mantenham por liquidar à data de resolução. O Cliente não terá quaisquer reclamações adicionais (incluindo pedidos de reembolso pelos Serviços) em virtude ou em conexão com a resolução do presente Contrato ao abrigo da presente cláusula 16.2.