Contrato de processamento de dados

Contrato de processamento de dados

Este Contrato de Processamento de Dados ("DPA") é feito e celebrado a partir deste    dia de    202_ faz parte dos Termos e Condições do Serviço (o "Contrato"). Você reconhece que você, ("Organização") (coletivamente, "Você", "Seu", "Cliente", ou "Controlador de dados") leu, entendeu e concordou em cumprir este DPA, e está firmando um contrato legal vinculativo com a tuvis Solutions Ltd. conforme definido

abaixo ("tuvis", "Nós", "Nós", "Nosso", "Provedor de serviços" ou "Processador de dados") para refletir o acordo entre as partes com relação ao Processamento de Dados Pessoais (conforme esses termos são definidos abaixo), sujeito às Leis e Regulamentações de Proteção de Dados deste DPA. Ambas as partes serão chamadas de "Partes" e cada uma delas, uma "Parte".

CONSIDERANDO que a tuvis fornecerá os serviços estabelecidos no Contrato (coletivamente, os "Serviços") para o Cliente, conforme descrito no Contrato; e

CONSIDERANDO QUE, No decorrer da prestação dos Serviços nos termos do Contrato, poderemos processar Dados Pessoais em seu nome, na qualidade de "Processador de dados"; e as Partes desejam estabelecer os acordos relativos ao processamento de Dados Pessoais (definidos abaixo) no contexto dos Serviços e concordam em cumprir as seguintes disposições com relação a quaisquer Dados Pessoais, cada uma agindo de forma razoável e de boa-fé.

AGORA, PORTANTO, em consideração às promessas mútuas aqui estabelecidas e a outras considerações boas e valiosas, cujo recebimento e suficiência são aqui reconhecidos pelas Partes, as Partes, com a intenção de estarem legalmente vinculadas, concordam com o seguinte:

• INTERPRETAÇÃO E DEFINIÇÕES

1.

1. Os títulos contidos neste DPA são apenas para conveniência e não devem ser interpretados para limitar ou afetar de outra forma as disposições deste DPA.

2. As referências a cláusulas ou seções são referências às cláusulas ou seções deste DPA, salvo indicação em contrário.

3. As palavras usadas no singular incluem o plural e vice-versa, conforme o contexto.

4. Os termos em letras maiúsculas não definidos neste documento terão os significados atribuídos a esses termos no Contrato.

5. Definições:

1. "Afiliada" significa qualquer entidade que, direta ou indiretamente, controle, seja controlada ou esteja sob controle comum com a entidade em questão. "Controle", para fins desta definição, significa a propriedade direta ou indireta ou o controle de mais de 50% das participações com direito a voto da entidade em questão.

2. "Afiliada Autorizada" significa qualquer Afiliada do Cliente que (a) esteja sujeita às Leis e Regulamentos de Proteção de Dados da União Europeia, do Espaço Econômico Europeu e/ou seus estados membros, Suíça

e/ou Reino Unido, e (b) tenha permissão para usar os Serviços de acordo com o Contrato entre o Cliente e a tuvis, mas não tenha assinado seu próprio contrato com a tuvis e não seja um "Cliente" conforme definido no Contrato.

3. "CCPA" significa a Lei de Privacidade do Consumidor da Califórnia de 2018 e suas modificações e alterações, incluindo a Lei de Direitos de Privacidade da Califórnia.

4. "Controlador" ou "Controlador de dados" significa a entidade que determina as finalidades e os meios do Processamento de Dados Pessoais. Apenas para os fins deste DPA, e exceto quando indicado de outra forma, o termo "Controlador de Dados" incluirá a Organização e/ou as Afiliadas Autorizadas da Organização.

5. "Dados Proteção de dados Leis e Regulamentações" significa todas as leis e regulamentos da União Europeia, do Espaço Econômico Europeu e de seus Estados-Membros, do Reino Unido e do Brasil, se aplicáveis ao Processamento de Dados Pessoais nos termos do Contrato.

6. "Excluir" significa remover ou obliterar Dados Pessoais de forma que não possam ser recuperados ou reconstruídos.

7. "Dados Sujeito dos dados" significa a pessoa identificada ou identificável a quem os Dados Xxxxxxxx se referem.

8. "Membro Estado-Membro" significa um país que pertence à União Europeia e/ou ao Espaço Econômico Europeu. "União Europeia" significa a União Europeia.

9. "GDPR" significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas físicas no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados).

10. "LGPD" significa a Lei Geral de Proteção de Dados do Brasil no 13709/2018 ("Lei Geral de Proteção de Dados Pessoais").

11. "tuvis" significa a entidade tuvis relevante das seguintes entidades jurídicas tuvis: tuvis Solutions Ltd.

12. "tuvis Grupo" significa a tuvis e suas Afiliadas envolvidas no Processamento de Dados Pessoais.

13. "Dados pessoais pessoais" significa qualquer informação relacionada a uma pessoa física identificada ou identificável; uma pessoa física identificável é aquela que pode ser identificada, direta ou indiretamente, em particular por referência a um identificador, como um nome, um número de identificação, dados de localização, um identificador on-line ou a um ou mais fatores específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa física.

14. "Processo(s)" significa qualquer operação ou conjunto de operações realizadas sobre os Dados Pessoais, seja ou não por meios automáticos, tais como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou disponibilização de outra forma, alinhamento ou combinação, restrição, exclusão ou destruição.

15. "Processador" ou "Processador de dados" significa a entidade que processa os dados pessoais em nome do Controlador.

16. "Segurança Documentação de Segurança" significa a Documentação de Segurança aplicável aos Serviços específicos adquiridos pelo Cliente, anexada na versão atual na data deste DPA como Anexo 2 a este DPA e atualizada periodicamente, e essas novas versões podem ser acessadas mediante solicitação

em xxxxxxx@xxxxx.xxx ou conforme disponibilizado de outra forma pela tuvis.

17. "Cláusulas contratuais padrão" ou "SCC" significa (i) o módulo aplicável das cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros de acordo com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 4 de junho de 2021, conforme disponível aqui conforme atualizado, alterado, substituído ou suplantado de tempos em tempos pela Comissão Europeia; ou (ii) quando exigido de tempos em tempos por uma autoridade supervisora para uso com relação a qualquer transferência restrita específica, qualquer outro conjunto de cláusulas contratuais ou outro mecanismo semelhante aprovado por tal Autoridade Supervisora ou pelas Leis Aplicáveis para uso com relação a tal Transferência Restrita, conforme atualizado, alterado, substituído ou suplantado de tempos em tempos por tal Autoridade Reguladora ou Leis e Regulamentos de Proteção de Dados.

18. "Subprocessador" significa qualquer Processador contratado pela tuvis e/ou pela Afiliada da tuvis para Processar Dados Pessoais em nome do Cliente.

19. "Autoridade de supervisão Autoridade Supervisora" significa uma autoridade pública independente estabelecida por um Estado Membro da UE de acordo com o GDPR ou no Brasil de acordo com a LGPD.

• PROCESSAMENTO DE DADOS PESSOAIS

1. As Partes reconhecem e concordam que, com relação ao Processamento de Dados Pessoais sob este DPA, a tuvis é o Processador de Dados e que (iii) a tuvis ou membros do Grupo tuvis podem contratar Subprocessadores de acordo com os requisitos estabelecidos na Seção 5 "Subprocessadores" abaixo. Para maior clareza, este DPA não se aplicará com relação à atividade de processamento da tuvis como um Controlador de Dados com relação aos dados da tuvis, conforme definido na Política de Privacidade.

2. O Cliente deverá, em seu uso dos Serviços, Processar Dados Pessoais de acordo com as exigências das Leis e Regulamentações de Proteção de Dados e cumprir sempre as obrigações aplicáveis aos controladores de dados.

Para evitar dúvidas, as instruções do Cliente para o Processamento de Dados Pessoais deverão estar em conformidade com as Leis e Regulamentações de Proteção de Dados. O Cliente será o único responsável pelos meios pelos quais adquiriu os Dados Pessoais. Sem limitação, o Cliente deverá cumprir com todas e quaisquer obrigações relacionadas à transparência (incluindo, sem limitação, a exibição de todos e quaisquer avisos ou políticas de privacidade relevantes e necessários) e deverá sempre ter todas e quaisquer bases legais contínuas necessárias para coletar, processar e transferir para a tuvis os Dados Pessoais e autorizar o Processamento pela tuvis dos Dados Pessoais que são autorizados neste DPA. O Cliente deverá defender, isentar e indenizar a tuvis, suas Afiliadas e subsidiárias (incluindo, sem limitação, seus diretores, executivos, agentes, subcontratados e / ou funcionários) de e contra qualquer responsabilidade de qualquer tipo relacionada a qualquer violação, violação ou infração pelo Cliente e / ou seus usuários autorizados de quaisquer Leis e Regulamentos de Proteção de Dados e / ou este DPA e / ou esta Seção.

3. Processamento de dados pessoais pela tuvis.

1. Sujeito ao Contrato, a tuvis processará os Dados Pessoais que estão sujeitos a este DPA somente de acordo com as instruções documentadas do Cliente, conforme necessário para o desempenho dos Serviços e para o desempenho do Contrato e deste DPA, a menos que

seja exigido pela legislação da União ou do Estado Membro ou qualquer outra lei aplicável à qual a tuvis e suas Afiliadas estejam sujeitas; nesse caso, a tuvis informará o Cliente sobre o requisito legal antes do processamento, a menos que essa lei proíba tais informações por motivos importantes de interesse público. A duração do Processamento, a natureza e os propósitos do Processamento, bem como os tipos de Dados Pessoais Processados e as categorias de Titulares de Dados sob este DPA são especificados em Anexo 1 (Detalhes do Processamento) deste DPA.

2. Na medida em que a tuvis ou suas Afiliadas não possam cumprir uma solicitação (incluindo, sem limitação, qualquer instrução, direção, código de conduta, certificação ou mudança de qualquer tipo), do Cliente e / ou seus usuários autorizados relacionados ao Processamento de Dados Pessoais ou onde a tuvis considera tal solicitação ilegal, a tuvis (i) informará o Cliente, fornecendo detalhes relevantes do problema (mas não aconselhamento jurídico), (ii) a tuvis pode, (ii) a tuvis pode, sem qualquer tipo de responsabilidade para com o Cliente, cessar temporariamente todo o Processamento dos Dados Pessoais afetados (além de armazenar com segurança esses dados), e (iii) se as Partes não concordarem com uma resolução para o problema em questão e os custos disso, cada Parte pode, como seu único recurso, rescindir o Contrato e este DPA com relação ao Processamento afetado, e o Cliente pagará à tuvis todos os valores devidos à tuvis ou devidos antes da data de rescisão. O Cliente não terá mais reivindicações contra a tuvis (incluindo, sem limitação, a solicitação de reembolsos pelos Serviços) devido à rescisão do Contrato e/ou do DPA na situação descrita neste parágrafo (excluindo as obrigações relacionadas à rescisão deste DPA estabelecidas abaixo).

• DIREITOS DOS TITULARES DE DADOS

1. Se a tuvis receber uma solicitação de um Titular de Dados para exercer seus direitos, conforme estabelecido nas Leis e Regulamentos de Proteção de Dados ("Solicitação do Titular dos Dados"), a tuvis deverá, na medida legalmente permitida, notificar e encaminhar prontamente tal Solicitação de Titular de Dados ao Cliente. Levando em conta a natureza do Processamento, a tuvis deve usar esforços comercialmente razoáveis para ajudar o Cliente através de medidas técnicas e organizacionais apropriadas, na medida do possível, para o cumprimento da obrigação do Cliente de responder a uma Solicitação do Titular dos Dados sob as Leis e Regulamentos de Proteção de Dados. Na medida do legalmente permitido, o Cliente será responsável por quaisquer custos decorrentes da prestação de tal assistência pela tuvis.

• tuvis PERSONALIDADE

1. A tuvis concederá acesso aos Dados Pessoais a pessoas sob sua autoridade (incluindo, sem limitação, seu pessoal) somente com base na necessidade de conhecimento e garantirá que essas pessoas envolvidas no Processamento de Dados Pessoais tenham se comprometido com a confidencialidade ou estejam sob uma obrigação legal apropriada de confidencialidade.

2. A tuvis pode divulgar e processar os Dados Pessoais (a) conforme permitido neste documento (b) na medida exigida por um tribunal de jurisdição competente ou outra Autoridade Supervisora e / ou de outra forma conforme exigido pelas leis aplicáveis ou pelas Leis e Regulamentos de Proteção de Dados aplicáveis (em tal caso, (nesse caso, a tuvis informará o Cliente sobre a exigência legal antes da divulgação, a menos que a lei proíba tais informações por motivos importantes de interesse público), ou (c) com base na "necessidade de conhecimento", sob uma obrigação de confidencialidade com advogados, consultores de proteção de dados, contadores, inventores ou possíveis adquirentes.

• AUTORIZAÇÃO RELATIVA A SUBPROCESSADORES

1. A lista atual de subprocessadores da tuvis está incluída no Anexo 3 ("Lista de Subprocessadores") e é aqui aprovada pelo Cliente.

2. O Cliente deverá se inscrever para receber notificações de novos Subprocessadores enviando um e-mail para xxxxxxx@xxxxx.xxxxxx o assunto SUBSCRIPTION TO SUB- PROCESSORS NOTIFICATION e, se o Cliente se inscrever, a tuvis fornecerá notificação de qualquer novo Subprocessador(es).

3. O Cliente pode razoavelmente se opor ao uso de um Subprocessador pela tuvis por razões relacionadas ao GDPR, notificando a tuvis prontamente por escrito dentro de cinco (5) dias úteis após o recebimento do aviso da tuvis, de acordo com o mecanismo estabelecido na Seção 5.2 e tal objeção por escrito deve incluir as razões relacionadas às Leis e Regulamentos de Proteção de Dados para se opor ao uso de tal Subprocessador pela tuvis. A falta de objeção a esse Sub-processador por escrito dentro de cinco (5) dias úteis após a notificação da tuvis será considerada como aceitação do Sub-processador. No caso de o Cliente se opor razoavelmente a um Sub-processador, conforme permitido nas frases anteriores, a tuvis envidará esforços razoáveis para disponibilizar ao Cliente uma alteração nos Serviços ou recomendar uma alteração comercialmente razoável ao uso dos Serviços pelo Cliente para evitar o Processamento de Dados Pessoais pelo Sub-processador objetado sem sobrecarregar injustificadamente o Cliente. Se a tuvis for incapaz de disponibilizar tal mudança dentro de um período de tempo razoável, que não deve exceder trinta (30) dias, o Cliente pode, como único recurso, rescindir o Contrato aplicável e este DPA com relação apenas aos Serviços que não podem ser fornecidos pela tuvis sem o uso do Subprocessador objetado, fornecendo notificação por escrito à tuvis, desde que todos os valores devidos nos termos do Contrato antes da data de rescisão com relação ao Processamento em questão sejam devidamente pagos à tuvis. Até que uma decisão seja tomada em relação ao Subprocessador, a tuvis pode suspender temporariamente o Processamento dos Dados Pessoais afetados. O Cliente não terá mais reivindicações contra a tuvis devido à rescisão do Contrato (incluindo, sem limitação, a solicitação de reembolsos) e/ou o DPA na situação descrita neste parágrafo.

4. De acordo com os Artigos 28.7 e 28.8 do GDPR, se e quando a Comissão Europeia

estabelecer as Cláusulas Contratuais Padrão mencionadas em tal Artigo, as Partes poderão

revisar este DPA de boa fé para ajustá-lo a tais Cláusulas Contratuais Padrão. Esta Seção 5 não se aplicará aos subcontratados da tuvis que prestam serviços auxiliares para apoiar a execução do DPA. Isso inclui, por exemplo, serviços de telecomunicações, manutenção e atendimento ao usuário, equipe de limpeza ou auditores.

• SEGURANÇA

1. Levando em consideração o estado da arte, os custos de implementação, o escopo, o contexto, as finalidades do Processamento, bem como o risco de probabilidade e gravidade variáveis para os direitos e liberdades das pessoas físicas, A tuvis manterá todas as medidas técnicas e organizacionais padrão da indústria exigidas de acordo com as Leis e Regulamentos de Proteção de Dados aplicáveis para a proteção da segurança (incluindo a proteção contra o processamento não autorizado ou ilegal e contra a destruição acidental ou ilegal, perda ou alteração ou dano, divulgação não autorizada de, ou acesso a, Dados Pessoais), confidencialidade e integridade dos Dados Pessoais, conforme estabelecido na Documentação de Segurança que é aprovada pelo Cliente. Mediante solicitação do Cliente, a tuvis usará esforços comercialmente razoáveis para ajudar o Cliente, a custo do Cliente, a garantir o cumprimento das obrigações de acordo com as Leis e Regulamentos de Proteção de Dados aplicáveis, levando em consideração a natureza do processamento, o estado da arte e as informações disponíveis para a tuvis.

• Mediante solicitação por escrito do Cliente em intervalos razoáveis, e sujeito às obrigações de

confidencialidade estabelecidas no Contrato e neste DPA, a tuvis disponibilizará ao Cliente que não é um concorrente da tuvis (ou o auditor independente e terceirizado do Cliente que não é um concorrente da tuvis) uma cópia ou um resumo das auditorias ou certificações de terceiros mais recentes da tuvis, conforme aplicável (desde que, no entanto, essas auditorias, certificações e os resultados delas, (desde que, no entanto, essas auditorias, certificações e seus resultados, incluindo os documentos que refletem o resultado da auditoria e/ou das certificações, sejam usados apenas pelo Cliente para avaliar a conformidade com este DPA e não sejam usados para qualquer outra finalidade ou divulgados a terceiros sem a aprovação prévia por escrito da tuvis e, mediante a primeira solicitação da tuvis, o Cliente deverá devolver todos os registros ou documentação em posse ou controle do Cliente fornecidos pela tuvis no contexto da auditoria e/ou da certificação). A custo e despesa do Cliente, a tuvis deve permitir e contribuir para auditorias, incluindo inspeções da tuvis, conduzidas pelo controlador ou outro auditor mandatado pelo controlador (que não é um concorrente direto ou indireto da tuvis), desde que as partes concordem com o escopo, metodologia, tempo e condições de tais auditorias e inspeções. Não obstante qualquer disposição em contrário, tais auditorias e/ou inspeções não deverão conter nenhuma informação, incluindo, sem limitação, dados pessoais que não pertençam ao Cliente.

• GERENCIAMENTO E NOTIFICAÇÃO DE INCIDENTES COM DADOS PESSOAIS

A tuvis notificará o Cliente sem atraso indevido após tomar conhecimento da destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais, incluindo Dados Pessoais, transmitidos, armazenados ou processados pela tuvis ou seus subprocessadores dos quais a tuvis toma conhecimento (um "Incidente de Dados Pessoais"A tuvis fará esforços razoáveis para identificar a causa de tal Incidente de Dados

Pessoais e tomará as medidas que a tuvis considerar necessárias, possíveis e razoáveis para remediar a causa de tal Incidente de Dados Pessoais na medida em que a remediação esteja dentro do controle razoável da tuvis. As obrigações aqui contidas não se aplicam a incidentes causados pelo Cliente ou pelos usuários do Cliente ou que não estejam relacionados à prestação dos Serviços. Em qualquer caso, o Cliente será a parte responsável por notificar as autoridades de supervisão e/ou os titulares dos dados em questão (quando exigido pelas Leis e Regulamentos de Proteção de Dados).

• DEVOLUÇÃO E EXCLUSÃO DE DADOS PESSOAIS

Sujeito ao Contrato, a tuvis deverá, à escolha do Cliente, excluir ou devolver os Dados Pessoais ao Cliente após o término da prestação dos Serviços relacionados ao Processamento, e deverá excluir as cópias existentes, a menos que a lei aplicável exija o armazenamento dos Dados Pessoais. Em qualquer caso, na medida exigida ou permitida pela lei aplicável, a tuvis pode reter uma cópia dos Dados Pessoais para fins de evidência e/ou para o estabelecimento, exercício ou defesa de reivindicações legais e/ou para cumprir as leis e regulamentos aplicáveis. Se o Cliente solicitar que os Dados Pessoais sejam devolvidos, os Dados Pessoais serão devolvidos no formato geralmente disponível para os Clientes da tuvis.

• AFILIADAS AUTORIZADAS

1. As Partes reconhecem e concordam que, ao executar o DPA, o Cliente celebra o DPA em seu próprio nome e, conforme aplicável, em nome e por conta de suas Afiliadas Autorizadas, estabelecendo assim um DPA separado entre elas. Cada Afiliada Autorizada concorda em estar vinculada às obrigações previstas neste DPA. Todo o acesso e uso dos Serviços pelos Afiliados Autorizados devem estar em conformidade com os termos e condições do Contrato e deste DPA, e qualquer violação dos termos e condições deste por um Afiliado Autorizado será considerada uma violação pelo Cliente.

2. O Cliente permanecerá responsável por coordenar toda a comunicação com a tuvis nos termos do Contrato e deste DPA e terá o direito de fazer e receber qualquer comunicação em relação a este DPA em nome de suas Afiliadas Autorizadas.

• TRANSFERÊNCIAS DE DADOS

1. Transferências para países que oferecem um nível adequado de proteção de dados. Os Dados Pessoais podem ser transferidos dos Estados Membros da UE, dos três países membros do EEE (Noruega, Liechtenstein e Islândia) (coletivamente, "EEE"), do Reino Unido e do Brasil para países que ofereçam um nível adequado de proteção de dados de acordo com as decisões de adequação publicadas pelas autoridades de proteção de dados relevantes ("Decisões de Adequação"), sem que seja necessária qualquer outra salvaguarda.

2. Transferências para outros países. Se o Processamento de Dados Pessoais incluir transferências do EEE (ou do Brasil) para países fora do EEE (ou do Brasil, respectivamente), que não estejam sujeitos a uma Decisão de Adequação ("Outros países"), por exemplo, Israel, as Partes deverão cumprir os seguintes termos com relação às transferências de Dados Pessoais da UE, o Cliente como um Exportador de Dados

(conforme definido nas SCCs) e a tuvis em seu nome e cada Afiliada da tuvis (conforme aplicável) como um Importador de Dados (conforme definido nas SCCs), por meio deste documento, celebram as Cláusulas Contratuais Padrão estabelecidas em Anexo 4. Na medida em que houver qualquer conflito ou inconsistência entre os termos das Cláusulas Contratuais Padrão e os termos deste DPA, os termos das Cláusulas Contratuais Padrão terão precedência.

3. O Cliente autoriza a tuvis (e seus Subprocessadores) a transferir Dados Pessoais relacionados aos Serviços prestados ao Cliente para os países ou territórios onde as Afiliadas Autorizadas da tuvis e os Subprocessadores estão localizados, de acordo com o Contrato e este DPA.

• ENCERRAMENTO

Este DPA será automaticamente rescindido após a rescisão ou expiração do Contrato sob o qual os Serviços são fornecidos. As Seções 2.2, 2.3.3, 8 e 12 sobreviverão à rescisão ou expiração deste DPA por qualquer motivo. Este DPA não pode, em princípio, ser rescindido separadamente do Contrato, exceto quando o Processamento terminar antes da rescisão do Contrato, caso em que este DPA será automaticamente rescindido.

• RELACIONAMENTO COM O CONTRATO

No caso de qualquer conflito entre as disposições deste DPA e as disposições do Contrato, as disposições deste DPA prevalecerão sobre as disposições conflitantes do Contrato.

Não obstante qualquer coisa em contrário no Contrato e / ou em qualquer contrato entre as partes e na extensão máxima permitida por lei: (A) a responsabilidade total, total e agregada da tuvis (incluindo as Afiliadas da tuvis), relacionada a dados ou informações pessoais, privacidade ou por violação deste DPA e / ou Leis e Regulamentos de Proteção de Dados, incluindo, sem limitação, se houver, qualquer obrigação de indenização nos termos do Contrato ou da lei aplicável em relação à proteção de dados ou privacidade, será limitada aos valores pagos à tuvis nos termos do Contrato dentro de doze (12) meses anteriores ao evento que deu origem à reivindicação. Esta limitação de responsabilidade é cumulativa e não por incidente; (B) Em nenhum caso a tuvis e/ou as Afiliadas da tuvis e/ou seus fornecedores terceirizados serão responsáveis, ou de outra forma em conexão com este DPA, por: (i) quaisquer danos indiretos, exemplares, especiais, consequenciais, incidentais ou punitivos; (ii) qualquer perda de lucros, negócios ou economias antecipadas; (iii) qualquer perda ou dano a dados, reputação, receita ou boa vontade; e/ou

(iv) o custo de aquisição de quaisquer bens ou serviços substitutos; e (C) As exclusões e limitações de responsabilidade acima estabelecidas nesta Seção deverão ser aplicadas: (i) mesmo que a tuvis, as Afiliadas da tuvis ou os fornecedores terceirizados tenham sido avisados, ou devessem estar cientes, da possibilidade de perdas ou danos; (ii) mesmo que qualquer recurso neste DPA falhe em seu propósito essencial; e (iii) independentemente da forma, teoria ou base de responsabilidade (como, mas não limitado a, violação de contrato ou ato ilícito).

• CCPA. Na medida em que os Dados Pessoais estão sujeitos ao CCPA, a tuvis não deve vender ou compartilhar os Dados Pessoais do Cliente. A tuvis reconhece que, ao processar Dados Pessoais no contexto da prestação dos Serviços, o Cliente não está vendendo ou compartilhando Dados Pessoais para a

tuvis. A tuvis concorda em não reter, usar ou divulgar os Dados Pessoais do Cliente: (i) para qualquer finalidade que não seja o Objetivo Comercial (conforme definido abaixo); (ii) para nenhum outro propósito comercial ou comercial; ou (iii) fora da relação comercial direta entre a tuvis e o Cliente. Não obstante o acima exposto, a tuvis pode usar, divulgar ou reter Dados Pessoais do Cliente para: (i) transferir os Dados Pessoais para outras entidades da tuvis (incluindo, sem limitação, afiliadas e subsidiárias), prestadores de serviços, terceiros e fornecedores, a fim de fornecer os Serviços ao Cliente; (ii) para cumprir, ou conforme permitido pelas leis aplicáveis; (iii) para defender reivindicações legais ou cumprir uma investigação de aplicação da lei; (ii) para uso interno pela tuvis para construir ou melhorar a qualidade de seus serviços e/ou para qualquer outra finalidade permitida pela CCPA; (iii) para detectar incidentes de segurança de dados ou proteger contra atividades fraudulentas ou ilegais; e (iv) coletar e analisar informações anônimas. A tuvis deve usar esforços comercialmente razoáveis para cumprir com suas obrigações sob a CCPA. Se a tuvis tomar conhecimento de qualquer requisito material aplicável (para a tuvis como um provedor de serviços) sob a CCPA que a tuvis não pode cumprir, a tuvis deve usar esforços comercialmente razoáveis para notificar o Cliente. Após a notificação por escrito do Cliente, a tuvis deve usar medidas comerciais razoáveis e apropriadas para parar e remediar o suposto uso não autorizado de Dados Pessoais da tuvis; desde que o Cliente deva explicar e demonstrar na notificação por escrito qual atividade de processamento de Xxxxx Xxxxxxxx considera não autorizada e as razões aplicáveis. Não obstante qualquer disposição em contrário, o Cliente será total e exclusivamente responsável pelo cumprimento de seus próprios requisitos de acordo com a CCPA. "Finalidade comercial" significa as atividades de Processamento que a tuvis realizará para fornecer Serviços (conforme descrito no Contrato), este DPA e qualquer outra instrução do Cliente, conforme permitido pela lei aplicável, incluindo a CCPA e os regulamentos aplicáveis, ou conforme necessário para fornecer os Serviços ao Cliente.

• ALTERAÇÕES

Este DPA pode ser alterado a qualquer momento por um instrumento escrito devidamente assinado por cada uma das Partes.

• EFEITO LEGAL

Este DPA só se tornará juridicamente vinculativo entre o Cliente e a tuvis quando as etapas de formalidades estabelecidas na Seção "INSTRUÇÕES SOBRE COMO EXECUTAR ESTE DPA" abaixo tiverem sido totalmente concluídas. A tuvis pode ceder este DPA ou seus direitos ou obrigações aqui descritos a qualquer Afiliado, ou a um sucessor ou qualquer Afiliado, em conexão com uma fusão, consolidação ou aquisição de todas ou substancialmente todas as suas ações, ativos ou negócios relacionados a este DPA ou ao Contrato. Qualquer obrigação da tuvis abaixo pode ser executada (no todo ou em parte), e qualquer direito da tuvis (incluindo fatura e direitos de pagamento) ou recurso pode ser exercido (no todo ou em parte), por uma Afiliada da tuvis.

• ASSINATURA

As Partes declaram e garantem que cada uma delas tem o poder de celebrar, executar, cumprir e se vincular a este DPA.

Você, como a pessoa que assina em nome do Cliente, representa e garante que tem, ou lhe foi concedida, autoridade total para vincular a Organização e, conforme aplicável, suas Afiliadas Autorizadas a este DPA. Se você não puder ou não tiver autoridade para vincular a Organização e/ou suas Afiliadas Autorizadas, você não deverá fornecer ou fornecer Dados Pessoais à tuvis.

Ao assinar este DPA, o Cliente celebra este DPA em seu próprio nome e, na medida exigida ou permitida pelas Leis e Regulamentações de Proteção de Dados aplicáveis, em nome e por conta de suas Afiliadas Autorizadas, se e na medida em que a tuvis processar Dados Pessoais para os quais essas Afiliadas Autorizadas se qualificam como "controlador de dados".

Este DPA foi pré-assinado em nome da tuvis.

Instruções sobre como executar este DPA.

1. Para completar este DPA, você deve preencher as informações que faltam; e

2. Envie o DPA preenchido e assinado para nós por e-mail, indicando o nome do Cliente, para xxxxxxx@xxxxx.xxx

Lista de programações

• CRONOGRAMA 1 - DETALHES DO PROCESSAMENTO

• CRONOGRAMA 2 - MEDIDAS DE SEGURANÇA

• CRONOGRAMA 3 - LISTA DE SUBPROCESSADORES

• CRONOGRAMA 4 - CLÁUSULAS CONTRATUAIS PADRÃO

Os signatários autorizados das partes assinaram devidamente este Contrato:

CLIENTE:

Assinatura:

Nome legal do cliente: Nome em letra de forma: Título:

Data:

tuvis SOLUTIONS LTD.

Assinatura:

Nome legal:

Nome em letra de forma:

Título:

Data: