PARTE 1 – Transferências ex-EEE
1. A Cláusula I.A do Anexo das Cláusulas Contratuais-Tipo será preenchida do seguinte modo:
Exportador de dados: O Cliente (conforme especificado no Contrato).
Dados de contacto: Os dados de contacto do Cliente (conforme especificado no Contrato).
Função do Exportador de Dados: Responsável pelo Tratamento de Dados.
Módulo Dois: O Exportador de Dados é um Responsável pelo Tratamento de Dados.
Importador de Dados: Marzipan.
Detalhes de contacto: Conforme especificado no Contrato.
Função do Importador de Dados: O Importador de Dados é um Subcontratante.
Assinatura e Data: Ao celebrar o Contrato e o DPA, considera-se que o Importador de Dados assinou as presentes Cláusulas Contratuais Padrão, aqui incorporadas, incluindo os respetivos Anexos, a partir da Data de Entrada em Vigor do Contrato.
2. O Anexo I.B das Cláusulas Contratuais Padrão será preenchido da seguinte forma:
As categorias de titulares de dados estão descritas na cláusula 4.6 do DPA.
As categorias de Dados do Cliente estão descritas na cláusula 4.5 do DPA.
As Partes não pretendem que sejam transferidos Dados de Categoria Especial.
A frequência da transferência é contínua durante a vigência do Contrato.
A natureza do tratamento está descrita na cláusula 4.4 do DPA.
A finalidade do tratamento está descrita na cláusula 4.3 do DPA.
O período durante o qual os Dados do Cliente serão conservados corresponde à duração do Contrato, salvo acordo em contrário no Contrato e/ou no DPA.
Relativamente às transferências para Subcontratantes, o objeto, a natureza e a duração do tratamento estão definidos na cláusula 9 do DPA.
3. O Anexo I.C das Cláusulas Contratuais Padrão será preenchido da seguinte forma:
A Autoridade de Supervisão competente nos termos da Cláusula 13 é a autoridade de supervisão do Estado-Membro estipulado na cláusula 10(e) do presente DPA.
As Normas de Segurança da Marzipan (Anexo A) servirão como documentação e informações exigidas no Anexo II das Cláusulas Contratuais Padrão.
4. Na medida em que exista qualquer conflito entre as Cláusulas Contratuais Padrão e quaisquer outros termos do presente DPA ou do Contrato, prevalecerão as disposições das Cláusulas Contratuais Padrão.
PARTE 2 – Transferências ex-UK
- As partes acordam que o IDTA DPA se aplica a uma transferência ex-UK, sendo a presente Parte 2 eficaz a partir de 21 de março de 2022.
- Salvo definição em contrário no Contrato, os termos definidos na Parte 2 do Anexo 2 terão o significado constante da "Parte 2: Cláusulas Obrigatórias" abaixo.
Parte 1: Tabelas
Tabela 1 do IDTA DPA
3. A Tabela 1 do DPA será preenchida da seguinte forma:
- Exportador de Dados: O Cliente (conforme detalhado no Contrato).
- Dados de contacto: Conforme detalhado no Contrato.
Assinatura e Data: Ao celebrar o Contrato e o DPA, considera-se que o Exportador de Dados assinou o presente IDTA DPA aqui incorporado, a partir da Data de Entrada em Vigor do Contrato.
- Importador de Dados: Marzipan.
- Dados de contacto: Conforme detalhado no Contrato.
Assinatura e Data: Ao celebrar o Contrato e o DPA, considera-se que o Importador de Dados assinou o presente IDTA DPA aqui incorporado, a partir da Data de Entrada em Vigor do Contrato.
Tabela 2 do IDTA DPA
4. A Tabela 2 do DPA deve ser preenchida da seguinte forma:
| DPA EU SSCs | The Approved EU SCCs, including the Appendix Information and with only the following modules, clauses or optional provisions of the Approved EU SCCs brought into effect for the purposes of this DPA: |
| Module in operation | Clause 7 (Docking Clause) |
Clause 11 (Option) |
Clause 9a (Prior Authorisation or General Authorisation) |
Clause 9a (Time period) |
Is personal data received from the Importer combined with personal data collected by the Exporter? |
|---|---|---|---|---|---|
| 1 | Shall not apply | Shall not apply | General Authorisation | As set out in clause 9.2 of the DPA (30 days). | No |
| 1 | Shall not apply | Shall not apply | General Authorisation | As set out in clause 9.2 of the DPA (30 days). | No |
Tabela 3 do IDTA DPA
5. A Tabela 3 do DPA deve ser preenchida da seguinte forma:
Exportador de dados: O Cliente (conforme especificado no Contrato).
Dados de contacto: Os dados de contacto do Cliente (conforme especificado no Contrato).
Função do Exportador de Dados: Responsável pelo Tratamento de Dados.
- a) Módulo Um: O Importador de Dados é um Responsável pelo Tratamento de Dados.
- b) Módulo Dois: O Importador de Dados é um Responsável pelo Tratamento de Dados.
Módulo Dois: O Exportador de Dados é um Responsável pelo Tratamento de Dados.
Assinatura e Data: Ao celebrar o Contrato e o DPA, considera-se que o Exportador de Dados assinou as Cláusulas Contratuais Tipo da EU aprovadas, aqui incorporadas, incluindo os respetivos Anexos, a partir da Data de Entrada em Vigor do Contrato.
Importador de Dados: Marzipan.
Dados de contacto: Conforme detalhado no Contrato.
Função do Importador de Dados: O Importador de Dados é um Subcontratante.
6. O Anexo I.B deve ser preenchido da seguinte forma:
As categorias de titulares de dados estão descritas na cláusula 4.6 do DPA.
As categorias de Dados Pessoais são descritas na cláusula 4.5 do DPA.
As Partes não pretendem que sejam transferidos Dados de Categoria Especial.
A frequência da transferência é contínua durante a vigência do Contrato.
A natureza do tratamento está descrita na cláusula 4.4 do DPA.
A finalidade do tratamento está descrita na cláusula 4.3 do DPA.
O período de conservação dos Dados Pessoais corresponde à duração do Contrato, salvo acordo em contrário no Contrato e/ou no DPA.
Relativamente às transferências para Subcontratantes, o objeto, a natureza e a duração do tratamento estão definidos na cláusula 9 do DPA.
O Anexo III: Lista de Subcontratantes não se aplica, uma vez que a Marzipan dispõe de autorização geral por escrito para utilizar Subcontratantes.
Tabela 4 do IDTA DPA
7. O Importador pode dar por findo o presente IDTA DPA conforme previsto na cláusula 26 do mesmo.
Parte 2: Cláusulas Obrigatórias
8. Cada Parte aceita ficar vinculada aos termos e condições estabelecidos no presente IDTA DPA, em contrapartida de a outra Parte também aceitar ficar vinculada ao mesmo.
9. Embora o Anexo 1A e a Cláusula 7 das Cláusulas Contratuais Tipo da EU aprovadas exijam a assinatura das Partes, para efeitos de realização de Transferências Restritas, as Partes podem celebrar o presente IDTA DPA de qualquer forma que as vincule juridicamente e permita aos titulares dos dados exercer os seus direitos conforme estabelecido no presente DPA. A celebração do presente IDTA DPA terá o mesmo efeito que a assinatura das Cláusulas Contratuais Tipo da EU aprovadas e de qualquer parte das mesmas.
Interpretação do presente IDTA DPA
10. Sempre que o presente IDTA DPA utilize termos definidos nas Cláusulas Contratuais Tipo da EU aprovadas, esses termos terão o mesmo significado que nessas Cláusulas. Adicionalmente, os termos seguintes têm os seguintes significados:
| DPA | This International Data Transfer DPA which is made up of this IDTA DPA incorporating the DPA EU SCCs. |
| DPA EU SCCs | The version(s) of the Approved EU SCCs which this IDTA DPA is appended to, as set out in Table 2, including the Appendix Information. |
| Appendix Information | As set out in Table 3. |
| Appropriate Safeguards | The standard of protection over the Personal Data and of Data Subjects’ rights, which is required by UK Data Protection Laws when the Customer are making a Restricted Transfer relying on standard data protection clauses under Article 46(2)(d) UK GDPR. |
| Approved DPA | The template DPA issued by the UK ICO and laid before UK Parliament in accordance with s119A of the Data Protection Act 2018 on 2 February 2022, as it is revised under clause 25 below. |
| Approved EU SCCs | The Standard Contractual Clauses set out in the Annex of Commission Implementing Decision (EU) 2021/914 of 4 June 2021. |
| ICO | The UK Information Commissioner. |
| Restricted Transfer | A transfer which is covered by Chapter V of the UK GDPR. |
| UK | The United Kingdom of Great Britain and Northern Ireland. |
| UK Data Protection Laws | All laws relating to data protection, the processing of personal data, privacy and/or electronic communications in force from time to time in the UK, including the UK GDPR and the Data Protection Act 2018. |
| UK GDPR | As defined in section 3 of the Data Protection Act 2018. |
11. O presente IDTA DPA deve ser sempre interpretado de forma consistente com a legislação UK de proteção de dados e de modo a que cumpra a obrigação das Partes de garantir as Salvaguardas Adequadas.
12. Se as disposições incluídas nas Cláusulas Contratuais Tipo da EU do DPA alterarem as Cláusulas Contratuais Tipo aprovadas de qualquer forma não permitida pelas mesmas ou pelo DPA aprovado, tais alterações não serão incorporadas no presente IDTA DPA, sendo substituídas pela disposição equivalente das Cláusulas Contratuais Tipo da EU aprovadas.
13. Em caso de inconsistência ou conflito entre as Leis de Proteção de Dados do Reino Unido e este DPA IDTA, prevalecem as Leis de Proteção de Dados do Reino Unido.
14. Se o significado deste DPA IDTA não for claro ou admitir mais de uma interpretação, aplica-se o significado que mais se aproxime das Leis de Proteção de Dados do Reino Unido.
15. Quaisquer referências a legislação (ou a disposições específicas de legislação) dizem respeito a essa legislação (ou disposição específica) tal como possa ser alterada ao longo do tempo. Isto inclui os casos em que essa legislação (ou disposição específica) tenha sido consolidada, reenunciada e/ou substituída após a celebração deste DPA IDTA.
Hierarquia
16. Embora a Cláusula 5 das SCCs da UE Aprovadas estabeleça que estas prevalecem sobre todos os acordos conexos entre as partes, as partes acordam que, para as Transferências Restritas, prevalecerá a hierarquia prevista na Secção 17.
17. Em caso de inconsistência ou conflito entre o DPA Aprovado e as SCCs da UE do DPA (conforme aplicável), o DPA Aprovado prevalece sobre as SCCs da UE do DPA, exceto quando (e na medida em que) os termos inconsistentes ou conflituantes das SCCs da UE do DPA confiram maior proteção aos titulares dos dados, caso em que esses termos prevalecerão sobre o DPA Aprovado.
18. Quando este DPA IDTA incorporar SCCs da UE do DPA celebradas para proteger transferências sujeitas ao Regulamento Geral de Proteção de Dados (EU) 2016/679, as Partes reconhecem que nada neste DPA IDTA afeta essas SCCs da UE do DPA.
Incorporação e alterações às SCCs da UE
19. Este DPA IDTA incorpora as SCCs da UE do DPA, as quais são alteradas na medida do necessário para que:
- em conjunto, regulem as transferências de dados efetuadas pelo exportador de dados para o importador de dados, na medida em que as Leis de Proteção de Dados do Reino Unido se apliquem ao tratamento do exportador de dados aquando dessa transferência, e confiram Salvaguardas Adequadas para essas transferências;
- As Cláusulas 16 a 18 abaixo prevalecem sobre a Cláusula 5 (Hierarquia) das SCCs da UE do DPA; e
- este DPA IDTA (incluindo as SCCs da UE do DPA nele incorporadas) é (1) regido pelas leis de Inglaterra e do País de Gales e (2) qualquer litígio dele decorrente é resolvido pelos tribunais de Inglaterra e do País de Gales, em cada caso salvo se as leis e/ou tribunais da Escócia ou da Irlanda do Norte tiverem sido expressamente selecionados pelas Partes.
20. Salvo se as Partes tiverem acordado alterações alternativas que satisfaçam os requisitos da cláusula 19 acima, aplicar-se-ão as disposições da Secção 22.
21. Não poderão ser efetuadas quaisquer alterações às SCCs da UE Aprovadas que não se destinem a satisfazer os requisitos da Secção 19.
22. São efetuadas as seguintes alterações às SCCs da UE do DPA (para efeitos da Secção 19):
- em conjunto, regulem as transferências de dados efetuadas pelo exportador de dados para o importador de dados, na medida em que as Leis de Proteção de Dados do Reino Unido se apliquem ao tratamento do exportador de dados aquando dessa transferência, e confiram Salvaguardas Adequadas para essas transferências;
- Na Cláusula 2, eliminar as palavras: "e, no que respeita às transferências de dados de responsáveis pelo tratamento para subcontratantes e/ou de subcontratantes para subcontratantes, cláusulas contratuais-tipo ao abrigo do artigo 28.º, n.º 7, do Regulamento (EU) 2016/679";
- A Cláusula 6 (Descrição da(s) transferência(s)) é substituída por: "Os detalhes da(s) transferência(s) e, em particular, as categorias de dados pessoais transferidos e a(s) finalidade(s) para as quais são transferidos são os especificados no Anexo I.B sempre que as Leis de Proteção de Dados do Reino Unido se apliquem ao tratamento do exportador de dados aquando dessa transferência.";
- A Cláusula 8.8(i) do Módulo 2 é substituída por: "a transferência ulterior é para um país que beneficia de regulamentos de adequação ao abrigo da Secção 17A do UK GDPR que abrangem essa transferência ulterior;";
- As referências ao "Regulamento (EU) 2016/679", ao "Regulamento (EU) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados)" e a "esse Regulamento" são todas substituídas por "Leis de Proteção de Dados do Reino Unido". As referências a Artigo(s) específico(s) do "Regulamento (EU) 2016/679" são substituídas pelo Artigo ou Secção equivalente das Leis de Proteção de Dados do Reino Unido;
- As referências ao Regulamento (EU) 2018/1725 são eliminadas;
- As referências à "União Europeia", "União", "EU", "Estado-Membro da UE", "Estado-Membro" e "UE ou Estado-Membro" são todas substituídas por "Reino Unido";
- A referência à "Cláusula 12(c)(i)" na Cláusula 10(b)(i) do Módulo um é substituída por "Cláusula 11(c)(i)";
- A Cláusula 13(a) e a Parte C do Anexo I não são utilizadas;
- A "autoridade de controlo competente" e a "autoridade de controlo" são ambas substituídas pelo "Information Commissioner";
- Na Cláusula 16(e), a subsecção (i) é substituída por: "o Secretário de Estado emite regulamentos ao abrigo da Secção 17A da Lei de Proteção de Dados de 2018 que abranjam a transferência de dados pessoais a que estas cláusulas se aplicam;";
- A Cláusula 17 é substituída por: «Estas Cláusulas são regidas pelas leis de Inglaterra e do País de Gales.»;
- A Cláusula 18 é substituída por: «Qualquer litígio decorrente destas Cláusulas será resolvido pelos tribunais de Inglaterra e do País de Gales. Um titular de dados pode igualmente intentar ação judicial contra o exportador de dados e/ou o importador de dados perante os tribunais de qualquer país do UK. As Partes acordam em submeter-se à jurisdição de tais tribunais.»; e
- As notas de rodapé das Cláusulas Contratuais-Tipo da UE Aprovadas não fazem parte do DPA IDTA, exceto as notas de rodapé 8, 9, 10 e 11.
Alterações a este DPA IDTA
23. As Partes podem acordar em alterar as Cláusulas 17 e/ou 18 das Cláusulas Contratuais-Tipo DPA da UE para fazer referência às leis e/ou tribunais da Escócia ou da Irlanda do Norte.
24. Se as Partes pretenderem alterar o formato das informações incluídas na Parte 1: Tabelas do DPA Aprovado, podem fazê-lo mediante acordo escrito, desde que a alteração não reduza as Salvaguardas Adequadas.
25. Periodicamente, o ICO pode emitir um DPA Aprovado revisto que:
- introduz alterações razoáveis e proporcionais ao DPA Aprovado, incluindo a correção de erros no DPA Aprovado; e/ou
- reflete alterações às Leis de Proteção de Dados do UK;
O DPA Aprovado revisto especificará a data de início a partir da qual as alterações ao DPA Aprovado produzem efeitos e se as Partes necessitam de rever este DPA IDTA, incluindo as Informações do Anexo. Este DPA IDTA é automaticamente alterado nos termos estabelecidos no DPA Aprovado revisto a partir da data de início especificada.
26. Se o ICO emitir um DPA Aprovado revisto ao abrigo da Secção 18, caso qualquer Parte selecionada na Tabela 4 «Cessação do DPA quando o DPA Aprovado é alterado» venha a ter, como resultado direto das alterações ao DPA Aprovado, um aumento substancial, desproporcionado e demonstrável:
- dos seus custos diretos de cumprimento das suas obrigações ao abrigo do DPA; e/ou
- do seu risco ao abrigo do DPA,
e em qualquer dos casos tendo previamente adotado medidas razoáveis para reduzir esses custos ou riscos de forma a que deixem de ser substanciais e desproporcionados, essa Parte pode fazer cessar este DPA IDTA no final de um prazo de aviso razoável, mediante notificação escrita por esse período à outra Parte antes da data de início do DPA Aprovado revisto.
27. As Partes não necessitam do consentimento de terceiros para efetuar alterações a este DPA IDTA, mas quaisquer alterações devem ser efetuadas em conformidade com os respetivos termos.
