Acordo de Tratamento de Dados

Este Acordo integra os Termos de Serviço celebrados entre a Fast OTT Ltd (que opera sob o nome comercial Vodlix), registrada na Inglaterra e no País de Gales sob o número 15157138, com sede social em Office 7, 480 Larkshall Road, London, England, E4 9HH ("Vodlix", "nós"), e o Cliente ("você").

Ele se aplica quando tratamos dados pessoais em seu nome.

1. Definições

Legislação de Proteção de Dados significa o RGPD do Reino Unido e o Data Protection Act 2018; o Regulamento (UE) 2016/679 e as respectivas normas nacionais de execução; o PECR e a legislação equivalente em matéria de privacidade eletrônica; e qualquer outra legislação de proteção de dados aplicável.

Dados de Usuários Finais significa os dados pessoais relativos aos Usuários Finais da sua Plataforma do Cliente que tratamos em seu nome.

Suboperador significa um operador que contratamos para tratar Dados de Usuários Finais.

Serviços, Usuário Autorizado, Plataforma do Cliente, Conteúdo do Cliente, Usuário Final e Assinante têm os significados que lhes são atribuídos nos Termos de Serviço.

Os demais termos com iniciais maiúsculas têm os significados que lhes são atribuídos no RGPD do Reino Unido.

2. Papéis

Em relação aos Dados de Usuários Finais, você define as finalidades e os meios. Você é responsável por dispor de uma base legal, pelo seu próprio aviso de privacidade aos seus Usuários Finais, por qualquer consentimento exigido para cookies na sua Plataforma do Cliente e por responder às solicitações de exercício de direitos dos seus Usuários Finais. Agimos somente de acordo com as suas instruções.

Aos dados da sua conta aplica-se a nossa Política de Privacidade; este Acordo não os rege.

Nenhum de nós é controlador conjunto dos dados do outro.

3. Nossas obrigações

Nós iremos:

(a) tratar os Dados de Usuários Finais somente de acordo com as suas instruções documentadas (este Acordo, os Termos de Serviço, a sua configuração e qualquer instrução escrita adicional), salvo se exigido de outra forma por lei, caso em que informaremos você previamente, salvo se a lei o proibir;

(b) não vender nem compartilhar os Dados de Usuários Finais, nem utilizá-los para as nossas próprias finalidades, incluindo publicidade, criação de perfis ou treinamento de modelos;

(c) assegurar que as pessoas autorizadas a tratar os Dados de Usuários Finais estejam vinculadas a obrigações de confidencialidade;

(d) implementar medidas técnicas e organizacionais adequadas (Anexo 2);

(e) contratar Suboperadores somente nos termos da cláusula 4;

(f) prestar-lhe assistência em relação aos direitos dos titulares dos dados, à segurança, à notificação de violações e às avaliações de impacto, tendo em conta a natureza do tratamento;

(g) excluir ou devolver os Dados de Usuários Finais nos termos da cláusula 7; e

(h) disponibilizar as informações razoavelmente necessárias para demonstrar o cumprimento do artigo 28 e permitir auditorias nos termos da cláusula 8.

Se considerarmos que uma instrução viola a Legislação de Proteção de Dados, informaremos você.

Instruções que consideramos ilícitas. Informaremos você imediatamente após chegarmos a essa conclusão e apresentaremos os nossos motivos. Não somos obrigados a cumprir uma instrução que razoavelmente acreditemos violar a Legislação de Proteção de Dados e podemos suspendê-la até que você a retire ou a altere de modo que deixe de constituir uma violação. A recusa ou a suspensão de uma instrução nos termos deste parágrafo não constitui violação deste Acordo nem dos Termos de Serviço.

Suas instruções. Você é responsável por assegurar que as suas instruções cumpram a Legislação de Proteção de Dados. As suas instruções incluem instruções relativas a transferências de Dados de Usuários Finais para um país terceiro ou para uma organização internacional, que estão estabelecidas na cláusula 9 e no Anexo 3. Uma instrução que não esteja abrangida pelos Serviços, tal como descritos nos Termos de Serviço, ou que altere a forma como os prestamos, somente produz efeitos depois de a termos acordado com você por escrito, incluindo eventuais tarifas.

Alterações das medidas. As medidas do Anexo 2 estão sujeitas ao progresso e ao desenvolvimento técnicos. Podemos atualizá-las periodicamente, desde que a atualização não reduza o nível geral de segurança dos Dados de Usuários Finais.

4. Suboperadores

Você nos concede autorização geral para contratar Suboperadores. A lista atual consta do Anexo 3, fornecido com este Acordo e disponível a qualquer momento mediante solicitação para [email protected].

Damos aviso prévio de, no mínimo, 30 dias antes de adicionar ou substituir um Suboperador. Se você se opuser de forma razoável por motivos de proteção de dados e não pudermos oferecer uma alternativa, você poderá rescindir os Serviços afetados sem penalidade, com reembolso proporcional.

Impomos a cada Suboperador obrigações de proteção de dados não menos protetivas do que estas e continuamos integralmente responsáveis perante você pelos atos e omissões dele.

Contratos com Suboperadores. Contratamos cada Suboperador por meio de um contrato escrito que o obriga a apresentar garantias suficientes de execução de medidas técnicas e organizacionais adequadas e a cumprir as obrigações previstas no artigo 28(3). Mediante solicitação por escrito, forneceremos a você uma cópia das cláusulas de proteção de dados desse contrato, das quais poderemos suprimir informações comerciais que não sejam relevantes para a proteção de dados.

Como se opor. Você se opõe escrevendo para [email protected] dentro do prazo do aviso e apresentando os seus motivos. Analisaremos a oposição de boa-fé e a discutiremos com você. Se você não se opuser dentro do prazo do aviso, considera-se que autorizou a alteração.

Integrações que você configura. Quando você conecta um serviço de terceiros utilizando a sua própria conta ou chave de API, esse fornecedor é seu operador, e não nosso Suboperador. Não celebramos contrato com ele e não o listamos no Anexo 3.

5. Direitos dos titulares dos dados

Os Serviços permitem que você mesmo acesse, corrija, exporte e exclua os Dados de Usuários Finais. Quando você não puder exercer essas funções por meio dos Serviços, prestaremos assistência razoável sem demora injustificada.

Se um Usuário Final entrar em contato diretamente conosco a respeito de Dados de Usuários Finais, não responderemos quanto ao mérito; quando apropriado, nós o encaminharemos a você e o notificaremos sem demora injustificada.

5A. Avaliações de impacto e consulta prévia

Tendo em conta a natureza do tratamento e as informações de que dispomos, prestaremos a você assistência razoável em qualquer avaliação de impacto sobre a proteção de dados que você realizar nos termos do artigo 35 e em qualquer consulta prévia a uma autoridade de controle nos termos do artigo 36, na medida em que uma ou outra se refira aos Serviços.

Prestaremos essa assistência principalmente por meio das informações contidas neste Acordo e nos seus Anexos, juntamente com quaisquer informações adicionais que você razoavelmente solicitar sobre a forma como os Serviços tratam os Dados de Usuários Finais.

A assistência que for além disso, ou a assistência necessária em razão de um ato ou omissão seu, poderá ser cobrada a um custo razoável, que acordaremos com você antes de iniciá-la.

6. Violação de dados pessoais

Notificaremos você sem demora injustificada após tomarmos conhecimento de uma violação de dados pessoais que afete os Dados de Usuários Finais e, à medida que as informações se tornarem disponíveis, forneceremos detalhes sobre a natureza da violação, as categorias e o número aproximado de afetados, as consequências prováveis, as medidas adotadas ou propostas e um ponto de contato adequado. As informações poderão ser fornecidas em fases quando não estiverem disponíveis ao mesmo tempo.

Prestaremos a você assistência no cumprimento das suas próprias obrigações nos termos dos artigos 33 e 34. Não notificaremos os seus Usuários Finais nem uma autoridade de controle em seu nome sem a sua instrução por escrito.

Nossa resposta. Adotaremos medidas razoáveis para conter e investigar a violação e reduzir os seus efeitos, manteremos você informado sobre os desdobramentos relevantes e manteremos um registro da violação que lhe forneça as informações de que necessita para documentá-la nos termos do artigo 33(5).

Para onde enviamos a notificação. Enviamos as notificações previstas nesta cláusula para o endereço de e-mail do titular da sua conta Vodlix e para qualquer contato de segurança que você nos indicar por escrito. Você é responsável por manter esses dados atualizados.

Não constitui reconhecimento. A nossa notificação de uma violação de dados pessoais, bem como a nossa assistência a respeito dela, não constitui reconhecimento de culpa ou de responsabilidade.

7. Exclusão e devolução

Antes de cancelar, e por 30 dias após a rescisão, você pode exportar os Dados de Usuários Finais por meio dos Serviços ou, mediante solicitação, em um formato legível por máquina de uso comum, sem custo.

Quando você cancela, enviamos-lhe um e-mail. Após o cancelamento, excluiremos os seus dados, incluindo os Dados de Usuários Finais, dos sistemas ativos no prazo de 60 dias e instruiremos os Suboperadores aplicáveis a excluir os Dados de Usuários Finais de acordo com as suas obrigações contratuais e os ciclos de retenção aplicáveis, exceto quando a retenção for exigida por lei. Mantemos apenas os seus dados de contato e de comunicação e tudo o que a lei nos obrigar a manter, caso em que informaremos você sobre o quê, por que e por quanto tempo.

Os dados excluídos podem persistir em backups até que estes expirem no ciclo normal. Eles não são restaurados nem utilizados para nenhuma outra finalidade.

Confirmação da exclusão. Mediante solicitação por escrito, confirmaremos por escrito quando a exclusão prevista nesta cláusula estiver concluída e informaremos você sobre quais Dados de Usuários Finais, se houver, ainda mantemos porque a lei nos obriga a conservá-los ou porque permanecem em backups.

8. Auditoria

Disponibilizaremos as informações razoavelmente necessárias para demonstrar o cumprimento do artigo 28.

Você pode realizar auditorias no máximo uma vez a cada 12 meses, mediante notificação por escrito com antecedência de 30 dias, durante o horário comercial, sem perturbação injustificada e sujeito a obrigações de confidencialidade (com maior frequência quando uma autoridade de controle o exigir ou após uma violação que afete os seus Dados de Usuários Finais). Quando dispusermos de uma certificação ou de um relatório de terceiros vigente que abranja o escopo, o seu fornecimento satisfaz esta cláusula.

Quem pode auditar e custos. A auditoria pode ser realizada por você ou por um auditor independente por você nomeado, desde que o auditor não seja nosso concorrente e tenha concordado por escrito em manter a confidencialidade das nossas informações. Cada um de nós arca com os seus próprios custos de uma auditoria. Se uma auditoria demonstrar que violamos substancialmente este Acordo, sanaremos a violação prontamente, às nossas próprias custas.

9. Transferências internacionais

Parte da nossa infraestrutura está nos Estados Unidos. Quando os Dados de Usuários Finais forem transferidos para fora do Reino Unido ou do EEE para um país que não seja objeto de uma decisão de adequação, baseamo-nos:

• no EU-US / UK Extension Data Privacy Framework, para os Suboperadores certificados nos seus termos; ou

• nas Cláusulas Contratuais-Padrão (2021/914), Módulo Dois ou Módulo Três, conforme estabelecido no Anexo 4, com as opções indicadas no Anexo 4, juntamente com o UK International Data Transfer Addendum quando se aplicar o RGPD do Reino Unido.

Ambos são incorporados por referência e considerados celebrados na data de vigência deste Acordo.

9A. Se um mecanismo de transferência deixar de se aplicar

Se um mecanismo em que nos baseamos nos termos da cláusula 9 deixar de constituir uma base lícita para uma transferência, por exemplo, porque uma decisão de adequação ou o Data Privacy Framework foi revogado ou invalidado, ou porque a certificação de um Suboperador caducou, adotaremos prontamente um mecanismo alternativo reconhecido pela Legislação de Proteção de Dados, como as Cláusulas Contratuais-Padrão juntamente com o UK International Data Transfer Addendum.

Se não pudermos fazê-lo, informaremos você sem demora injustificada, e você poderá exigir que suspendamos a transferência afetada ou rescindir os Serviços afetados sem penalidade, com reembolso proporcional.

Forneceremos a você as informações de que razoavelmente necessitar para realizar uma avaliação de risco de transferência em relação a qualquer transferência de Dados de Usuários Finais nos termos deste Acordo.

9B. Solicitações de autoridades públicas

Se recebermos uma solicitação juridicamente vinculante de uma autoridade pública, incluindo um tribunal ou um órgão de aplicação da lei, para a divulgação de Dados de Usuários Finais, informaremos você prontamente, salvo se a lei o proibir, e, sempre que possível, solicitaremos à autoridade que dirija a sua solicitação a você.

Avaliaremos se a solicitação é lícita, iremos contestá-la quando, após uma avaliação cuidadosa, concluirmos que existem motivos razoáveis para considerá-la ilícita, e divulgaremos apenas o mínimo de Dados de Usuários Finais exigido pela solicitação.

Quando as Cláusulas Contratuais-Padrão se aplicarem à transferência, aplica-se a respectiva Cláusula 15.

10. Voz, imagem e reconhecimento facial

Quando você utiliza recursos de dublagem, de voz ou de imagem por IA, pode ser criada uma voz ou imagem sintética de uma pessoa real a partir do seu conteúdo. A dublagem cria um modelo de voz para cada locutor identificável no vídeo, como parte da tradução.

Você confirma que detém todos os direitos e consentimentos exigidos de cada pessoa cuja voz, rosto ou atuação apareça no conteúdo que você carrega ou dubla, abrangendo a criação e a utilização de uma voz ou imagem sintética deles derivada. Não verificamos essa circunstância e nos baseamos na sua confirmação.

Quando qualquer legislação aplicável tratar esses dados como biométricos ou como dados de categorias especiais, incluindo o artigo 9 do RGPD do Reino Unido/da UE e as leis dos EUA sobre dados biométricos, a determinação da base legal é de sua responsabilidade.

Criamos modelos de voz ou de imagem somente mediante instrução sua, não os reutilizamos para outro Cliente e excluiremos um modelo mediante instrução sua ou na rescisão.

Vinculação de elenco. Se você utilizar a vinculação de elenco, o Vodlix Intel reconhece rostos nos seus vídeos para sugerir etiquetas de artistas. Para isso, mantemos uma assinatura numérica de cada rosto, e não uma imagem, para que um rosto em um carregamento posterior possa ser associado a um que você já tenha nomeado. Não armazenamos imagens de rostos. Você é responsável por dispor de todos os direitos, permissões e bases legais necessários para esse uso. Não utilizamos esses dados para treinar nenhum modelo e os excluímos quando a sua nuvem for excluída, ou antes, mediante solicitação.

11. Dados de categorias especiais e crianças

Os Serviços não foram concebidos para dados de categorias especiais nem para dados relativos a infrações penais, e você não deve enviá-los além do previsto na cláusula 10 sem antes acordá-lo conosco por escrito.

Serviços para crianças. Você pode operar uma Plataforma do Cliente destinada a crianças. Se o seu serviço for direcionado a crianças, você é responsável pelo seu design adequado à idade, por qualquer consentimento parental exigido e pelos demais deveres aplicáveis a um serviço direcionado a crianças.

12. Disposições gerais

A responsabilidade nos termos deste Acordo está sujeita às limitações previstas nos Termos de Serviço, exceto pelo fato de que nada limita a responsabilidade de qualquer das partes perante um titular de dados nos termos do artigo 82 nem qualquer responsabilidade que não possa ser limitada por lei.

Repartição. Quando ambos formos responsáveis por danos causados pelo tratamento de Dados de Usuários Finais, cada um de nós é responsável, nas relações entre nós, pela parte dos danos correspondente à sua parcela de responsabilidade, conforme previsto no artigo 82. Você é responsável perante nós por reclamações, multas e custos na medida em que decorram das suas instruções ou da sua própria violação da Legislação de Proteção de Dados.

Este Acordo prevalece sobre os Termos de Serviço em matéria de proteção de dados. Ele vigora enquanto tratarmos Dados de Usuários Finais em seu nome, e as cláusulas 7, 8, 9 e 12 permanecem em vigor após o seu término.

Ordem de prevalência. Em caso de conflito entre os documentos que regem os Dados de Usuários Finais, eles se aplicam na seguinte ordem:

(a) as Cláusulas Contratuais-Padrão e o UK International Data Transfer Addendum, quando aplicáveis;

(b) este Acordo, incluindo os seus Anexos; e

(c) os Termos de Serviço, incluindo qualquer Formulário de Pedido.

Data de vigência. Este Acordo produz efeitos na data em que você aceitar os Termos de Serviço ou, se posterior, na data em que tratarmos pela primeira vez Dados de Usuários Finais em seu nome.

Podemos atualizá-lo mediante aviso prévio de 30 dias quando a atualização não reduzir substancialmente a sua proteção.

Anexo 1: Detalhes do tratamento

Objeto: fornecimento da plataforma de vídeo white-label Vodlix.

Duração: a vigência dos Termos de Serviço, acrescida do período previsto na cláusula 7.

Natureza e finalidade: hospedagem, codificação, armazenamento, distribuição e análise do Conteúdo do Cliente e operação de uma Plataforma do Cliente, incluindo a gestão das contas de Usuários Finais, o controle de assinaturas e de acesso e a análise da distribuição.

Tratamento adicional, quando você o ativar: gestão de consentimento por meio do Cookie Panda; CRM, e-mail transacional e agentes de voz por meio do Vertex CRM; e transcrição, tradução, legendagem, dublagem e geração de metadados por meio do Vodlix Intel (Anexo 3).

Categorias de titulares dos dados: Usuários Finais da sua Plataforma do Cliente, incluindo Assinantes, usuários gratuitos cadastrados e visitantes não cadastrados.

Categorias adicionais de titulares dos dados, quando você ativar o recurso correspondente: pessoas que entram em contato com você por meio do Vertex CRM, inclusive por chamada de voz; e pessoas cuja voz, rosto ou atuação apareça no Conteúdo do Cliente que você dubla ou utiliza com recursos de voz ou de imagem (cláusula 10).

Categorias de dados pessoais

Frequência: contínua, durante a vigência.

Anexo 2: Medidas técnicas e organizacionais

Controle de acesso: autenticação de dois fatores; acesso com base na necessidade de conhecimento; acesso revogado no desligamento.

Criptografia: TLS em trânsito; nos planos elegíveis, multi-DRM.

Resiliência: backups; distribuição por múltiplas CDNs.

Varredura de segurança: varreduras de segurança periódicas.

Pessoal: obrigações de confidencialidade para todos os que têm acesso.

Resposta a incidentes: procedimento documentado; notificação nos termos da cláusula 6.

Certificação: atualmente, não possuímos as certificações ISO 27001 ou SOC 2.

Anexo 3: Suboperadores

Nossos próprios serviços (não são suboperadores)

O Cookie Panda, o Vodlix Intel e o Vertex CRM são serviços da própria Fast OTT Ltd, e não sociedades distintas; por isso, não são suboperadores. Nós os listamos para que você possa ver para onde vão os seus dados. Os fornecedores externos desses serviços são suboperadores e constam da Tabela A.

Tabela A: Suboperadores (dados pessoais de Usuários Finais)

Contratados para tratar dados pessoais em nome dos Clientes.

Notificação de alterações

Damos aos Clientes aviso prévio de, no mínimo, 30 dias antes de adicionar ou substituir um suboperador da Tabela A, por e-mail e mediante a atualização desta página. O Cliente que se opuser de forma razoável por motivos de proteção de dados poderá rescindir os Serviços afetados sem penalidade.

Para ser notificado sobre alterações, envie um e-mail para [email protected], e nós o incluiremos na lista de notificação.

Anexo 4: Opções das CCP e do UK Addendum

O Módulo Dois (de controlador para operador) aplica-se quando você atuar como controlador dos Dados de Usuários Finais. O Módulo Três (de operador para operador) aplica-se quando você atuar como operador em nome de outro controlador.

Irlanda porque as CCP da UE exigem a lei de um Estado-Membro da UE. Os Termos de Serviço continuam regidos pela legislação da Inglaterra e do País de Gales.

UK Addendum (versão B1.0 do ICO). Tabela 1: o exportador é você, o importador é a Fast OTT Ltd, sob o nome comercial Vodlix. Tabela 2: o Módulo aplicável nos termos deste Anexo, com as opções acima. Tabela 3: Anexo I = Anexo 1, Anexo II = Anexo 2, Anexo III = Anexo 3. Tabela 4: Nenhuma das Partes pode pôr termo ao Addendum quando o Approved Addendum for alterado.