Adendo de proteção de dados do Nexusguard

‍

Última atualização: 14 de julho de 2026

Este Aditivo de Proteção de Dados, incluindo seus Anexos (“DPA”), é celebrado entre o cliente identificado no Contrato Principal (“Cliente”) e a Nexusguard Pte. Ltd. e/ou a afiliada da Nexusguard identificada no Contrato Principal (“Nexusguard”). Este DPA é parte integrante do contrato que rege a compra ou o uso dos Serviços pelo Cliente, incluindo qualquer contrato principal de serviços, contrato de parceria, pedido de serviço, cotação, contrato de usuário final ou outro contrato escrito ou eletrônico (“Contrato Principal”).

‍

Este DPA entra em vigor na data que ocorrer por último entre: (a) a data de entrada em vigor do Contrato Principal; (b) a data em que as partes assinam ou aceitam validamente este DPA; ou (c) a data em que a Nexusguard processa pela primeira vez Dados Pessoais do Cliente em nome do Cliente ("Data de Entrada em Vigor do DPA"). Substitui termos de tratamento de dados anteriores entre as partes para o mesmo Tratamento, a menos que as partes acordem expressamente o contrário por escrito.

‍

Se uma pessoa aceitar este DPA em nome do Cliente, essa pessoa declara que tem autoridade para vincular o Cliente.

‍

1. ÂMBITO, APLICAÇÃO E ORDEM DE PRECEDÊNCIA

1.1 Âmbito. Este DPA aplica-se apenas na medida em que a Nexusguard processa Dados Pessoais do Cliente na qualidade de Subcontratante na prestação dos Serviços. Não se aplica a informações para as quais a Nexusguard atua como Responsável pelo Tratamento independente, incluindo contactos comerciais, administração de contas, faturação, gestão de relacionamento, website, recrutamento e informações semelhantes descritas na declaração de privacidade aplicável da Nexusguard.

1.2 Serviços abrangidos. "Serviços" inclui os produtos e serviços da Nexusguard encomendados pelo Cliente, que podem incluir implementação na nuvem, local e híbrida de Proteção de Aplicações, Proteção de Origem, Proteção de DNS, Proteção de Rede, Proteção de Edge, Clean Pipe, Nexusguard Bastions, portais, dashboards, APIs, relatórios, SOC gerido, suporte técnico, formação, testes e serviços profissionais relacionados.

1.3 O Tratamento depende da configuração. As categorias e o volume de Dados Pessoais do Cliente processados dependem dos Serviços, do modelo de implementação, da configuração de encaminhamento de tráfego, das funcionalidades de inspeção ativadas, das instruções do Cliente e da utilização de desvio para a nuvem, monitorização gerida, acesso de suporte ou outras funções opcionais. O Anexo 1 descreve o Tratamento previsto e é complementado pela Encomenda aplicável.

1.4 Ordem de precedência. Em caso de conflito relativo ao Tratamento ou proteção de Dados Pessoais do Cliente, aplica-se a seguinte ordem: (a) as Cláusulas Contratuais-Tipo da UE ou outros termos de transferência obrigatórios; (b) quaisquer termos específicos de jurisdição neste DPA; (c) este DPA; e (d) o Contrato Principal. O Contrato Principal permanece, de resto, em vigor.

1.5 Sem redução de direitos obrigatórios. Nada neste DPA limita direitos ou obrigações que não possam ser legalmente limitados por contrato.

‍

2. DEFINIÇÕES

2.1 "Afiliada" significa uma entidade que, direta ou indiretamente, controla, é controlada por ou está sob controlo comum com uma parte, enquanto esse controlo existir. "Controlo" significa a propriedade ou o controlo de mais de cinquenta por cento dos direitos de voto ou o poder de dirigir a gestão.

2.2 "Legislação de Proteção de Dados Aplicável" significa qualquer lei ou regulamento vinculativo aplicável ao Tratamento de Dados Pessoais do Cliente ao abrigo do Contrato Principal, incluindo, quando aplicável: o RGPD da UE; o RGPD do Reino Unido, a Lei de Proteção de Dados do Reino Unido de 2018 e a Lei de Dados (Uso e Acesso) de 2025; a Lei Federal Suíça sobre Proteção de Dados; a Lei de Proteção de Dados Pessoais de Singapura de 2012; a Lei de Privacidade do Consumidor da Califórnia, conforme alterada pela Lei de Direitos de Privacidade da Califórnia; e outras leis de privacidade estaduais dos Estados Unidos aplicáveis.

2.3 "Responsável pelo Tratamento" significa a pessoa ou entidade que determina as finalidades e os meios de Tratamento. Inclui "empresa", "organização" e termos comparáveis ao abrigo da Legislação de Proteção de Dados Aplicável.

‍

2.4 "Dados Pessoais do Cliente" significa Dados Pessoais que a Nexusguard processa na qualidade de Subcontratante em nome do Cliente ao abrigo do Contrato Principal. Os Dados Pessoais do Cliente não incluem dados que tenham sido transformados em Dados Anónimos.

2.5 "Titular dos Dados" significa uma pessoa singular identificada ou identificável a quem os Dados Pessoais se referem. Inclui um "consumidor" e termos comparáveis ao abrigo da Legislação de Proteção de Dados Aplicável.

2.6 "RGPD da UE" significa o Regulamento (UE) 2016/679.

2.7 "Cláusulas Contratuais-Tipo da UE" significa as cláusulas contratuais-tipo constantes do anexo à Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021, conforme alteradas, substituídas ou revogadas.

2.8 "Dados Pessoais" significa informações relacionadas a uma pessoa natural, domicílio ou dispositivo identificado ou identificável, ou informações definidas de outra forma como dados pessoais, informações pessoais ou termo comparável nos termos da Legislação de Proteção de Dados Aplicável.

2.9 "Violação de Dados Pessoais" significa uma violação de segurança que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso aos Dados Pessoais do Cliente transmitidos, armazenados ou de outra forma tratados pela Nexusguard ou seus Suboperadores.

2.10 "Tratar" e "Tratamento" significam qualquer operação realizada com Dados Pessoais, incluindo acesso, recebimento, roteamento, transmissão, inspeção, coleta, registro, organização, estruturação, armazenamento, adaptação, recuperação, consulta, análise, uso, divulgação, restrição, eliminação ou destruição.

2.11 "Operador" significa uma pessoa ou entidade que realiza o Tratamento de Dados Pessoais em nome de um Controlador. Inclui "prestador de serviços", "contratado", "intermediário de dados" e termos comparáveis nos termos da Legislação de Proteção de Dados Aplicável, quando o contexto exigir.

2.12 "Transferência Restrita" significa uma transferência de Dados Pessoais que requer um mecanismo de transferência aprovado nos termos da Legislação de Proteção de Dados Aplicável.

2.13 "Medidas de Segurança" significa as medidas técnicas e organizacionais descritas no Anexo 2, conforme atualizadas de acordo com este DPA.

2.14 "Suboperador" significa um terceiro, incluindo uma Afiliada da Nexusguard, contratado pela Nexusguard para realizar o Tratamento de Dados Pessoais do Cliente em nome do Cliente.

2.15 "Adendo do Reino Unido" significa o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão da UE emitido pelo Comissário de Informação do Reino Unido nos termos da seção 119A da Lei de Proteção de Dados de 2018, versão B1.0 em vigor a partir de 21 de março de 2022, conforme alterado, substituído ou suplantado.

2.16 "UK GDPR" tem o significado atribuído na seção 3(10) da Lei de Proteção de Dados do Reino Unido de 2018, conforme alterada.

2.17 "Dados Anônimos" significa informações que foram agregadas, desidentificadas ou anonimizadas de modo que não identifiquem e não possam ser razoavelmente vinculadas ao Cliente, a um Titular de Dados, a um domicílio ou a um dispositivo, levando em consideração os meios razoavelmente prováveis de serem utilizados e os requisitos da Legislação de Proteção de Dados Aplicável.

‍

3. FUNÇÕES E INSTRUÇÕES DO CLIENTE

3.1 Funções. O Cliente é um Controlador ou Operador de Dados Pessoais do Cliente. A Nexusguard é um Operador ou Suboperador, conforme aplicável. Cada parte cumprirá as obrigações aplicáveis à sua função nos termos da Legislação de Proteção de Dados Aplicável.

3.2 Detalhes do Tratamento. O objeto, a duração, a natureza, a finalidade, as categorias de Dados Pessoais e as categorias de Titulares dos Dados estão descritos no Anexo 1 e no Pedido aplicável.

3.3 Instruções documentadas. A Nexusguard tratará Dados Pessoais do Cliente apenas:

(a) para fornecer, proteger, dar suporte e manter os Serviços;

(b) de acordo com o Contrato Principal, este DPA, o Pedido aplicável, a configuração dos Serviços pelo Cliente e outras instruções documentadas acordadas pelas partes;

(c) para prevenir, detectar, analisar, mitigar e reportar ataques, abusos, fraudes, ameaças à segurança e incidentes de serviço que afetem os Serviços ou propriedades protegidas; e

(d) quando exigido pela legislação aplicável, caso em que a Nexusguard informará o Cliente sobre a exigência legal antes do Tratamento, a menos que a lei proíba tal notificação por motivos importantes de interesse público.

3.4 Instruções ilegais. A Nexusguard informará prontamente o Cliente se, na opinião razoável da Nexusguard, uma instrução infringir a Legislação de Proteção de Dados Aplicável. A Nexusguard poderá suspender o Tratamento afetado até que as partes resolvam a questão.

3.5 Instruções adicionais. Se o Cliente solicitar Processamento materialmente fora dos Serviços ou deste DPA, as partes deverão concordar por escrito sobre a viabilidade, escopo, taxas e quaisquer alterações necessárias antes que a Nexusguard seja obrigada a realizá-lo.

3.6 Cliente como Processador. Se o Cliente atuar como Processador, o Cliente declara que o Controlador relevante autorizou as instruções do Cliente, a nomeação da Nexusguard como Subprocessador, o uso de Subprocessadores e as Transferências Restritas aplicáveis. O Cliente deverá disponibilizar as partes relevantes deste DPA a esse Controlador mediante solicitação.

‍

4. RESPONSABILIDADES DO CLIENTE

4.1 Base legal e avisos. O Cliente é responsável pela legalidade, equidade, transparência, precisão, qualidade e minimização dos Dados Pessoais do Cliente, bem como por fornecer os avisos exigidos e obter os consentimentos necessários ou outras bases legais.

4.2 Autoridade. O Cliente deverá possuir todos os direitos e permissões necessários para rotear tráfego para os Serviços, fornecer Dados Pessoais do Cliente, autorizar inspeção e análise de segurança, e instruir a Nexusguard a Processá-los.

4.3 Configuração. O Cliente é responsável por selecionar e configurar legalmente os Serviços, incluindo ativos protegidos, roteamento, DNS, inspeção, registro, retenção, acesso de usuário, integrações, opções de residência de dados e funções de autoatendimento.

4.4 Credenciais e endpoints. O Cliente deverá proteger suas credenciais, endpoints, sistemas de origem, infraestrutura local e conexões com os Serviços, e deverá notificar prontamente a Nexusguard sobre suspeita de uso não autorizado.

4.5 Dados sensíveis e regulamentados. Salvo acordo expresso em um Pedido, o Cliente não deverá fornecer intencionalmente dados de categorias especiais, dados altamente sensíveis, dados de cartão de pagamento, informações de saúde protegidas, dados de crianças, dados classificados pelo governo ou outros dados sujeitos a requisitos elevados que não sejam razoavelmente necessários para os Serviços. O Cliente reconhece que payloads de aplicativos, materiais de suporte ou tráfego roteado podem conter incidentalmente tais dados e deverá configurar os Serviços e implementar salvaguardas adequadamente.

4.6 Cooperação. O Cliente deverá fornecer informações precisas razoavelmente necessárias para que a Nexusguard cumpra suas obrigações e não deverá instruir a Nexusguard a violar a lei ou enfraquecer a segurança ou integridade dos Serviços.

‍

5. OBRIGAÇÕES DE PROCESSAMENTO DA NEXUSGUARD

5.1 Limitação de finalidade. A Nexusguard não deverá reter, usar, divulgar, vender ou compartilhar Dados Pessoais do Cliente fora das finalidades especificadas na Seção 3 e no Anexo 1, exceto conforme permitido ou exigido pela Lei de Proteção de Dados Aplicável.

5.2 Confidencialidade. A Nexusguard deverá garantir que o pessoal autorizado a Processar Dados Pessoais do Cliente esteja vinculado a obrigações de confidencialidade, receba treinamento adequado sobre privacidade e segurança, e acesse os Dados Pessoais do Cliente apenas conforme necessário para suas funções.

5.3 Segurança. A Nexusguard deverá implementar e manter as Medidas de Segurança. A Nexusguard poderá atualizá-las para refletir o progresso técnico, ameaças em evolução, desenvolvimento de produtos e mudanças na legislação, desde que as atualizações não reduzam materialmente o nível geral de proteção durante o prazo do Serviço aplicável.

5.4 Minimização de dados. A Nexusguard deverá limitar os Dados Pessoais do Cliente coletados e retidos ao que for razoavelmente necessário para o Serviço aplicável, segurança, suporte, fins legais e contratuais.

5.5 Registros e conformidade. A Nexusguard deverá manter os registros e informações exigidos dos Processadores nos termos da Lei de Proteção de Dados Aplicável e disponibilizar as informações relevantes conforme descrito na Seção 10.

5.6 Privacidade desde a concepção. Levando em conta a natureza e a configuração dos Serviços, a Nexusguard deverá aplicar princípios adequados de proteção de dados ao projetar e operar atividades de Processamento, incluindo limitação de acesso, segregação, controles de retenção e segurança por padrão, sempre que tecnicamente viável.

5.7 Inteligência de ameaças anônimas e análise de serviços. A Nexusguard pode criar e utilizar Dados Anônimos derivados da telemetria de serviços para inteligência de ameaças, análise de tendências de ataques, pesquisa de segurança, planejamento de capacidade, benchmarking, melhoria de produtos e serviços, e relatórios do setor. A Nexusguard deverá:

(a) utilizar medidas técnicas e organizacionais razoáveis concebidas para evitar a reidentificação;

(b) não tentar reidentificar Dados Anônimos;

(c) não divulgar o Cliente como a fonte sem a permissão por escrito do Cliente; e

(d) tratar as informações como Dados Pessoais do Cliente caso deixem de atender à definição de Dados Anônimos.

Nada nesta Seção permite que a Nexusguard venda ou compartilhe Dados Pessoais do Cliente ou crie perfis de indivíduos identificados para fins publicitários.

5.8 Atividades de Controlador independente. Se a Nexusguard determinar as finalidades e os meios de uma atividade de Processamento separada, a Nexusguard atuará como um Controlador independente para essa atividade e deverá cumprir a Lei de Proteção de Dados Aplicável. A Nexusguard não converterá Dados Pessoais do Cliente em dados controlados de forma independente apenas rotulando-os como dados operacionais, de análise ou de segurança.

‍

6. GESTÃO DE VIOLAÇÃO DE DADOS PESSOAIS

6.1 Notificação. A Nexusguard notificará o Cliente sem atraso indevido após tomar conhecimento de uma Violação de Dados Pessoais e, sempre que possível, dentro de 48 horas. A notificação não constitui admissão de culpa ou responsabilidade.

6.2 Conteúdo da notificação. Na medida do conhecido e razoavelmente disponível, a notificação da Nexusguard incluirá:

(a) a natureza da Violação de Dados Pessoais;

(b) as categorias e o número aproximado de Titulares dos Dados e registros afetados;

(c) as consequências prováveis;

(d) as medidas tomadas ou propostas para conter, investigar e remediar a situação;

(e) indicadores relevantes, cronogramas e Serviços ou locais afetados; e

(f) um contato para acompanhamento.

6.3 Informações suplementares. Se todas as informações não estiverem disponíveis de imediato, a Nexusguard poderá fornecê-las em etapas, sem atrasos indevidos. A Nexusguard fornecerá atualizações razoáveis até que a contenção e a remediação material estejam concluídas.

6.4 Cooperação. A Nexusguard tomará medidas razoáveis para conter e investigar a Violação de Dados Pessoais, mitigar danos, preservar evidências relevantes e auxiliar o Cliente com avaliações de risco legalmente exigidas, notificações a órgãos reguladores e comunicações aos Titulares dos Dados, levando em consideração a natureza do Processamento e as informações disponíveis à Nexusguard.

6.5 Comunicações externas. A Nexusguard não notificará os Titulares dos Dados afetados nem emitirá declaração pública identificando o Cliente em relação a uma Violação de Dados Pessoais sem a aprovação prévia por escrito do Cliente, a menos que exigido por lei. Quando legalmente permitido, a Nexusguard dará aviso prévio ao Cliente e considerará razoavelmente as contribuições do Cliente.

6.6 Eventos causados pelo Cliente. As obrigações da Nexusguard aplicam-se apenas a uma Violação de Dados Pessoais dentro de sistemas ou Processamento sob o controle da Nexusguard ou de seus Subprocessadores. Não obstante, a Nexusguard cooperará razoavelmente com o Cliente em relação a eventos de segurança causados por sistemas, credenciais, configurações ou pessoal do Cliente, sujeitos ao Contrato Principal.

‍

7. TITULARES DE DADOS, REGULADORES E ASSISTÊNCIA DE CONFORMIDADE

7.1 Solicitações de Titulares de Dados. Se a Nexusguard receber uma solicitação de um Titular de Dados relacionada aos Dados Pessoais do Cliente, a Nexusguard deverá, quando razoavelmente identificável:

(a) notificar prontamente o Cliente;

(b) não responder de forma substantiva, exceto mediante instrução documentada do Cliente ou conforme exigido por lei; e

(c) direcionar o solicitante ao Cliente, quando apropriado.

7.2 Assistência. Levando em consideração a natureza do Processamento, a Nexusguard fornecerá assistência razoável por meio de medidas técnicas e organizacionais apropriadas para que o Cliente responda a solicitações de acesso, correção, exclusão, restrição, objeção, portabilidade, opt-out, recurso ou outros direitos aplicáveis.

7.3 Verificação e decisões. O Cliente é responsável por verificar os solicitantes, determinar se uma solicitação é válida e responder ao Titular dos Dados. A Nexusguard pode confiar nas instruções do Cliente sem decidir independentemente sobre o mérito legal da solicitação.

7.4 Avaliações e consultas. Levando em consideração a natureza do Processamento e as informações disponíveis, a Nexusguard auxiliará razoavelmente o Cliente com:

(a) avaliações de impacto sobre a proteção de dados, avaliações de risco e consultas prévias;

(b) obrigações de segurança do processamento;

(c) notificações e comunicações de Violação de Dados Pessoais; e

(d) consultas razoáveis de órgãos reguladores competentes referentes ao Processamento da Nexusguard.

7.5 Custo. A Nexusguard fornecerá informações e funcionalidades de conformidade padrão sem custo adicional. Se a assistência for excessivamente onerosa, repetitiva ou estiver fora da funcionalidade padrão do Serviço, a Nexusguard poderá cobrar taxas razoáveis acordadas com antecedência, exceto quando a necessidade decorrer de uma violação deste DPA pela Nexusguard.

‍

8. SUBPROCESSADORES

8.1 Autorização geral. O Cliente autoriza, de modo geral, a Nexusguard a contratar Subprocessadores para fornecer os Serviços, sujeitos a esta Seção.

8.2 Lista atual. A Nexusguard deverá manter e disponibilizar uma lista atualizada de Subprocessadores que identifique seu nome, função de processamento e país ou região de Processamento. A Nexusguard fornecerá um mecanismo razoável para que o Cliente se inscreva para receber avisos de alteração.

8.3 Novos Subprocessadores. A Nexusguard deverá fornecer um aviso prévio de pelo menos 30 dias antes que um novo Subprocessador inicie o Processamento de Dados Pessoais do Cliente. Se o aviso prévio for impraticável devido a uma emergência, risco de segurança, requisito legal ou necessidade urgente de continuidade do serviço, a Nexusguard notificará o Cliente assim que for razoavelmente possível.

8.4 Objeções. O Cliente pode apresentar objeções por escrito no prazo de 15 dias após o aviso, com base em fundamentos razoáveis e documentados de proteção de dados. As partes trabalharão de boa-fé para resolver a objeção. A Nexusguard poderá utilizar alternativas comercialmente razoáveis, configurar o Serviço afetado para evitar o Subprocessador ou fornecer informações de suporte.

8.5 Objeções não resolvidas. Se as partes não conseguirem resolver uma objeção razoável no prazo de 30 dias e a Nexusguard não puder fornecer o Serviço afetado sem o Subprocessador, o Cliente poderá rescindir apenas o Serviço ou Pedido afetado mediante aviso por escrito antes que o Subprocessador inicie o Processamento contestado. Qualquer reembolso é regido pelo Contrato Principal, exceto pelo fato de que o Cliente não será cobrado por Serviços não prestados após a data efetiva de rescisão.

8.6 Termos e responsabilidade do Subprocessador. A Nexusguard celebrará um contrato por escrito com cada Subprocessador impondo obrigações de proteção de dados não menos protetivas em substância do que aquelas aplicáveis à Nexusguard para o Processamento relevante. A Nexusguard permanece responsável perante o Cliente pelo cumprimento dessas obrigações pelo Subprocessador, na medida exigida pela Lei de Proteção de Dados Aplicável.

‍

9. TRANSFERÊNCIAS INTERNACIONAIS E RESIDÊNCIA DE DADOS

9.1 Locais de processamento. O Cliente autoriza a Nexusguard e seus Subprocessadores a Processar Dados Pessoais do Cliente nos locais necessários para fornecer os Serviços solicitados, sujeitos ao Pedido aplicável, aos compromissos de residência de dados acordados, à lista de Subprocessadores e a esta Seção.

9.2 Compromissos de residência de dados. Quando um Pedido especificar o Processamento local ou regional, a Nexusguard Processará os Dados Pessoais do Cliente de acordo com esse compromisso. A Nexusguard não alterará materialmente uma configuração de residência acordada sem aviso prévio e, quando exigido pelo Pedido ou pela Lei de Proteção de Dados Aplicável, sem a aprovação do Cliente. O Cliente reconhece que o desvio de nuvem de emergência, a mitigação de ataques globais, o suporte remoto ou as integrações podem envolver locais adicionais quando ativados ou solicitados.

9.3 Mecanismos de transferência. A Nexusguard não realizará uma Transferência Restrita a menos que utilize um mecanismo legalmente válido, incluindo uma decisão de adequação, cláusulas contratuais padrão aprovadas, regras corporativas vinculativas, certificação ou estrutura reconhecida pela autoridade aplicável, ou outra salvaguarda legal.

‍

9.4 Transferências na UE. Para uma Transferência Restrita regida pelo GDPR da UE, as SCCs da UE são incorporadas por referência e preenchidas conforme estabelecido no Anexo 3. O Módulo Dois aplica-se quando o Cliente é um Controlador e a Nexusguard é um Processador. O Módulo Três aplica-se quando o Cliente é um Processador e a Nexusguard é um Subprocessador. As partes não modificarão as SCCs da UE, exceto conforme expressamente permitido por elas.

9.5 Transferências no Reino Unido. Para uma Transferência Restrita regida pela Lei de Proteção de Dados do Reino Unido, o Adendo do Reino Unido é incorporado e preenchido conforme estabelecido no Anexo 3.

9.6 Transferências na Suíça. Para uma Transferência Restrita regida pela Lei Federal Suíça sobre Proteção de Dados, aplicam-se as SCCs da UE com as adaptações suíças constantes no Anexo 3.

9.7 Transferências em Singapura. Quando a Lei de Proteção de Dados Pessoais de Singapura for aplicável, os termos do Anexo 5 se aplicam e a Nexusguard fornecerá um padrão de proteção comparável ao exigido pela Lei para transferências fora de Singapura.

9.8 Avaliações de transferência e medidas suplementares. Cada parte fornecerá as informações razoavelmente necessárias para que a outra conduza uma avaliação de impacto de transferência, avaliação de risco de transferência, teste de proteção de dados ou avaliação comparável. A Nexusguard implementará medidas técnicas, contratuais ou organizacionais suplementares quando razoavelmente necessário para a transferência relevante, levando em consideração a natureza dos dados, a configuração do Serviço, o destino e a legislação.

9.9 Mecanismo alternativo. Se um mecanismo de transferência for invalidado, substituído ou não estiver mais disponível, as partes cooperarão de boa-fé para implementar uma substituição válida. O uso de um novo mecanismo não reduz as proteções exigidas pela Lei de Proteção de Dados Aplicável.

‍

10. DIREITOS DE AUDITORIA, GARANTIA E INFORMAÇÃO

10.1 Informações de conformidade. A Nexusguard disponibilizará as informações razoavelmente necessárias para demonstrar a conformidade com este DPA e com a Lei de Proteção de Dados Aplicável, sujeitas a restrições de confidencialidade, segurança, privilégio e de terceiros.

10.2 Garantia independente. A Nexusguard pode atender a solicitações de auditoria de rotina fornecendo relatórios de auditoria independentes, certificações, resumos de testes de penetração, questionários de segurança ou outros materiais de garantia atuais relevantes para os Serviços. Tais materiais podem incluir ISO/IEC 27001, PCI DSS e materiais SOC 2, quando aplicáveis aos Serviços e disponíveis.

10.3 Auditoria do Cliente. Se as informações na Seção 10.2 forem razoavelmente insuficientes, o Cliente poderá realizar uma auditoria uma vez a cada período de 12 meses, por conta própria ou por meio de um auditor independente qualificado que não seja concorrente da Nexusguard e que esteja vinculado por confidencialidade. Auditorias adicionais são permitidas após uma Violação de Dados Pessoais relevante que afete os Dados Pessoais do Cliente ou quando exigido por um órgão regulador competente.

10.4 Condições de auditoria. As auditorias devem:

(a) limitar-se ao Processamento e aos controles relevantes para os Dados Pessoais do Cliente;

(b) ocorrer com pelo menos 30 dias de antecedência, a menos que um regulador ou incidente urgente exija um aviso prévio menor;

(c) ocorrer durante o horário comercial normal;

(d) evitar interrupções e riscos irracionais a outros clientes, sistemas ou informações confidenciais;

(e) utilizar revisão remota sempre que for possível atender ao objetivo de forma razoável; e

(f) cumprir os procedimentos razoáveis de segurança e proteção da Nexusguard.

10.5 Conclusões. As partes discutirão as conclusões materiais de boa-fé. A Nexusguard deverá remediar a não conformidade material verificada dentro de um período razoável e proporcional ao risco.

10.6 Custos. Cada parte arca com seus próprios custos de auditoria. O Cliente deverá reembolsar os custos razoáveis da Nexusguard para auditorias que sejam excessivamente onerosas ou que excedam a Seção 10.3, a menos que a auditoria identifique uma não conformidade material por parte da Nexusguard.

‍

11. DEVOLUÇÃO, EXCLUSÃO E RETENÇÃO

11.1 Durante a vigência. O Cliente pode usar a funcionalidade disponível do Serviço para recuperar ou excluir Dados Pessoais do Cliente. Quando a funcionalidade não estiver disponível, a Nexusguard deverá prestar assistência razoável mediante solicitação documentada.

11.2 Fim dos Serviços. Por escolha do Cliente, comunicada antes do término ou dentro de 30 dias após o mesmo, a Nexusguard deverá devolver ou excluir os Dados Pessoais do Cliente. Salvo disposição em contrário no Pedido aplicável, a Nexusguard deverá concluir a exclusão dos sistemas ativos dentro de 90 dias após o término do Serviço afetado.

11.3 Backups. Dados Pessoais do Cliente em backups, arquivos ou sistemas de recuperação de desastres podem permanecer até serem sobrescritos ou excluídos por meio de ciclos comuns, desde que protegidos, isolados do uso rotineiro e não restaurados, exceto para fins de recuperação, legais ou de segurança. Se restaurados, este DPA continua a ser aplicado e os dados deverão ser excluídos novamente quando não forem mais necessários.

11.4 Retenção legal. A Nexusguard pode reter Dados Pessoais do Cliente na medida exigida por lei, processo legal ou obrigação regulatória vinculativa. A Nexusguard deverá isolar os dados retidos, limitar o Processamento à finalidade exigida e excluí-los quando a obrigação terminar.

11.5 Dados Anônimos. As seções 11.2 a 11.4 não exigem a exclusão de Dados Anônimos.

‍

12. SOLICITAÇÕES DE ACESSO DE GOVERNO E TERCEIROS

12.1 Notificação. Caso a Nexusguard receba uma solicitação legalmente vinculativa de um governo, autoridade policial, tribunal ou outro terceiro por Dados Pessoais do Cliente, a Nexusguard deverá, salvo se proibido por lei:

(a) notificar o Cliente antes da divulgação;

(b) informar ao solicitante que a Nexusguard processa os dados em nome do Cliente, quando apropriado;

(c) encaminhar o solicitante ao Cliente quando legal e praticável; e

(d) fornecer informações suficientes para que o Cliente possa solicitar uma ordem de proteção ou outro recurso.

12.2 Revisão e contestação. A Nexusguard analisará as solicitações quanto à validade legal e ao âmbito e, quando existirem fundamentos razoáveis, contestará solicitações ilegais, excessivamente amplas ou desproporcionais. A Nexusguard divulgará apenas o mínimo de Dados Pessoais do Cliente legalmente exigido.

12.3 Transparência. Mediante solicitação razoável e quando legalmente permitido, a Nexusguard fornecerá informações gerais sobre as categorias relevantes de solicitações e as suas práticas de resposta.

12.4 Divulgação de emergência. A Nexusguard pode divulgar Dados Pessoais do Cliente quando acreditar, de forma razoável e de boa-fé, que a divulgação é necessária para evitar morte iminente ou danos físicos graves. A Nexusguard notificará o Cliente assim que for legalmente permitido.

‍

13. TERMOS DE PRIVACIDADE ESTADUAIS DOS ESTADOS UNIDOS

Se os Dados Pessoais do Cliente estiverem sujeitos à Lei de Privacidade do Consumidor da Califórnia ou a outra lei de privacidade estadual aplicável dos Estados Unidos, aplica-se o Anexo 4. Em caso de conflito, o Anexo 4 prevalece para esses Dados Pessoais do Cliente.

‍

14. ALTERAÇÕES A ESTE DPA

14.1 A Nexusguard pode atualizar este DPA para refletir alterações na lei, orientações regulamentares, Serviços, segurança ou operações comerciais. A Nexusguard fornecerá um aviso prévio razoável de qualquer alteração material que reduza os direitos contratuais do Cliente ou que expanda materialmente o Processamento de Dados Pessoais do Cliente pela Nexusguard.

14.2 Uma atualização necessária para cumprir a lei, substituir um mecanismo de transferência inválido, resolver uma questão de segurança urgente ou implementar uma diretriz vinculativa de uma autoridade reguladora pode entrar em vigor mais cedo, mas a Nexusguard deverá fornecer notificação assim que for razoavelmente possível.

14.3 Exceto para atualizações permitidas por esta Secção ou alterações a instrumentos legais obrigatórios referenciados, as alterações devem ser acordadas por escrito pelos representantes autorizados de ambas as partes.

‍

15. DISPOSIÇÕES GERAIS

15.1 Vigência. Este DPA permanece em vigor enquanto a Nexusguard processar Dados Pessoais do Cliente.

15.2 Responsabilidade. A responsabilidade decorrente deste DPA está sujeita às exclusões e limitações do Contrato Principal, exceto na medida em que a Legislação de Proteção de Dados Aplicável ou as Cláusulas Contratuais-Tipo da UE proíbam tal limitação.

15.3 Lei aplicável e foro. A lei aplicável e o foro previstos no Contrato Principal aplicam-se a este DPA, exceto quando os termos de transferência obrigatórios ou a Legislação de Proteção de Dados Aplicável exigirem o contrário.

15.4 Ausência de beneficiários terceiros. Exceto pelos direitos expressamente concedidos aos Titulares dos Dados ao abrigo das Cláusulas Contratuais-Tipo da UE ou de outra legislação obrigatória, este DPA não cria quaisquer direitos para terceiros beneficiários.

15.5 Divisibilidade. Se uma disposição for inválida ou inexequível, deve ser interpretada ou modificada na medida mínima necessária para a tornar exequível, permanecendo as restantes disposições em vigor.

15.6 Notificações. As notificações ao abrigo deste DPA devem ser enviadas utilizando o método de notificação previsto no Contrato Principal. As comunicações operacionais sobre privacidade e segurança também podem ser enviadas aos contactos designados pelas partes.

15.7 Acordo integral sobre o Processamento. Este DPA e o Contrato Principal constituem o acordo das partes referente ao Processamento de Dados Pessoais do Cliente pela Nexusguard e substituem termos anteriores sobre o mesmo assunto.

‍

ANEXO 1 — DETALHES DO PROCESSAMENTO

A. OBJETO

A Nexusguard processa Dados Pessoais do Cliente para fornecer os Serviços contratados pelo Cliente. Dependendo da configuração, isso pode incluir a proteção de aplicações, sites, APIs, servidores, redes, conectividade, infraestrutura de DNS e outros ativos digitais contra ataques de negação de serviço distribuído, ataques a aplicações, abusos e ameaças de segurança relacionadas.

‍

B. DURAÇÃO

O processamento continua durante a vigência do Serviço afetado e por qualquer período necessário para devolução, exclusão, ciclo de backup, investigação de incidentes, retenção legal ou transição, conforme permitido por este DPA e pelo Contrato Principal.

‍

C. NATUREZA E FINALIDADES

O processamento pode incluir:

• recebimento, roteamento, transmissão, desvio, inspeção, filtragem, limpeza e retorno de tráfego de rede, aplicação e DNS;

• coleta e análise de registros de fluxo, atributos de pacotes e protocolos, consultas e registros de DNS, atributos de HTTP ou API, logs, alertas, indicadores de ataque e telemetria de segurança;

• detecção, classificação, investigação, mitigação e notificação de ataques, vulnerabilidades, abusos e incidentes de serviço;

• estabelecimento de linhas de base de tráfego, aplicação de políticas de detecção e mitigação, dados de reputação, regras de WAF, controles de taxa, desafios e outras medidas de segurança;

• operação de centros de limpeza (scrubbing centers), Bastions, nuvem, infraestrutura local e híbrida;

• fornecimento de portais, painéis, APIs, relatórios, notificações, acesso à conta, administração multilocatário e registros de auditoria;

• fornecimento de SOC gerenciado, suporte técnico, solução de problemas, manutenção, otimização de serviço, treinamento, testes e serviços profissionais;

• manutenção da disponibilidade, resiliência, backups, recuperação de desastres, capacidade e segurança do Serviço;

• cumprimento das instruções documentadas do Cliente e das obrigações legais aplicáveis; e

• criação de Dados Anônimos conforme permitido pela Seção 5.7.

‍

D. CATEGORIAS DE TITULARES DE DADOS

Os Dados Pessoais do Cliente podem estar relacionados a:

• pessoal, contratados, administradores, usuários autorizados e contatos de suporte do Cliente;

• afiliadas, parceiros, revendedores, provedores de serviços de comunicação e clientes downstream do Cliente;

• visitantes e usuários dos sites, aplicações, APIs, redes e serviços DNS protegidos do Cliente;

• assinantes, clientes, funcionários ou outras pessoas que utilizam conectividade protegida ou serviços digitais;

• pessoas cujas informações aparecem em tráfego roteado, cargas úteis de pacotes, consultas DNS, logs, alertas, relatórios, tickets ou materiais de suporte; e

• supostos atacantes, pesquisadores de segurança, denunciantes de abuso e outras pessoas associadas a eventos de rede ou segurança.

‍

E. CATEGORIAS DE DADOS PESSOAIS

Dependendo do Serviço e da configuração:

• identificadores e dados de contato, incluindo nomes, nomes de usuário, detalhes de contato comercial, IDs de conta e identificadores de cliente ou locatário;

• dados de autenticação e autorização, incluindo credenciais ou tokens em tráfego protegido, registros de acesso ao portal, funções e trilhas de auditoria;

• identificadores de rede e dispositivo, incluindo endereços IP, endereços MAC quando disponíveis, portas, protocolos, números de sistemas autônomos, identificadores de dispositivo ou sessão e localização aproximada inferida;

• dados de tráfego e conexão, incluindo carimbos de data/hora, informações de origem e destino, registros de fluxo, largura de banda, atributos de pacotes e protocolos, dados de roteamento, configuração relacionada a GRE ou BGP e comportamento de conexão;

• dados de DNS, incluindo consultas, respostas, nomes de domínio, zonas, registros, informações de resolvedor e de servidor autoritativo;

• dados de aplicações e da web, incluindo URLs, métodos de solicitação, parâmetros de consulta, cabeçalhos, cookies, agentes de usuário, atributos de API e carga útil ou conteúdo limitado quando roteados, registrados ou inspecionados por recursos configurados;

• dados de segurança, incluindo indicadores de ataque, informações de reputação, ameaças detectadas, eventos de WAF, ações de mitigação, alertas, linhas de base e registros de incidentes;

• dados de configuração, incluindo faixas de IP protegidas, domínios, políticas, listas de permissão, listas de bloqueio, limites, integrações e configurações de notificação;

• dados de suporte e serviços profissionais, incluindo tickets, mensagens, arquivos de diagnóstico, capturas de tela, capturas de pacotes, dumps de dados, logs e gravações fornecidos pelo Cliente; e

• outros Dados Pessoais contidos incidentalmente no tráfego ou materiais disponibilizados pelo Cliente.

‍

F. DADOS ESPECIAIS OU ALTAMENTE REGULAMENTADOS

Os Serviços não exigem que o Cliente envie intencionalmente dados de categorias especiais ou altamente regulamentados, a menos que expressamente acordado. Tais dados podem, no entanto, aparecer incidentalmente no tráfego de aplicações criptografado ou não, payloads, logs, dados de DNS ou materiais de suporte. O Cliente controla as fontes e a configuração e é responsável por identificar requisitos legais adicionais. Quando as partes concordarem expressamente que a Nexusguard Processará intencionalmente tais dados, o Pedido aplicável deverá identificá-los, bem como quaisquer salvaguardas adicionais.

‍

G. FREQUÊNCIA E VOLUME

O processamento pode ser contínuo para Serviços sempre ativos, orientado por eventos para mitigação sob demanda, periódico para monitoramento e relatórios, ou ocasional para suporte e serviços profissionais. O volume depende do tráfego do Cliente, dos ativos protegidos, da atividade de ataques e da configuração do Serviço.

‍

H. LOCAIS DE PROCESSAMENTO E SUBPROCESSADORES

Os locais de processamento são determinados pelo Pedido aplicável, pela configuração de implementação e residência de dados, pelas decisões de roteamento e mitigação, pelo modelo de suporte e pela lista atual de Subprocessadores.

‍

I. DIREITOS E OBRIGAÇÕES DO CONTROLADOR

O Cliente retém os direitos e obrigações de Controlador descritos no Contrato Principal e na Legislação de Proteção de Dados Aplicável, incluindo o direito de emitir instruções documentadas legais e obter as informações e assistência descritas neste DPA.

‍

ANEXO 2 — MEDIDAS DE SEGURANÇA TÉCNICAS E ORGANIZACIONAIS

A Nexusguard manterá um programa de segurança documentado proporcional à natureza dos Serviços, aos Dados Pessoais do Cliente e aos riscos envolvidos. Os controles abaixo aplicam-se conforme relevante ao Serviço e ao modelo de implementação.

‍

A. GOVERNANÇA DE SEGURANÇA E GESTÃO DE RISCOS

• Funções e responsabilidades de segurança da informação atribuídas.

• Políticas, padrões e procedimentos de segurança documentados e revisados periodicamente.

• Avaliações de risco abordando confidencialidade, integridade, disponibilidade, resiliência e privacidade.

• Inventário e classificação de ativos adequados aos sistemas que processam Dados Pessoais do Cliente.

• Gestão de mudanças e gestão de exceções.

• Revisão periódica pela gestão e garantia independente, quando aplicável.

‍

B. SEGURANÇA DE PESSOAL

• Obrigações de confidencialidade para pessoal com acesso a Dados Pessoais do Cliente.

• Triagem pré-contratual apropriada, onde for legal e proporcional.

• Treinamento de privacidade e segurança baseado em funções no momento da integração e periodicamente após isso.

• Remoção ou ajuste imediato de acesso quando as funções mudam ou o vínculo empregatício termina.

• Processos disciplinares para violações da política de segurança.

‍

C. SEGURANÇA FÍSICA E AMBIENTAL

• Controles de acesso físico para instalações controladas pela Nexusguard com base em autorização e necessidade de negócio.

• Registro ou monitoramento de acesso a áreas de processamento sensíveis, quando apropriado.

• Proteções ambientais, energia, detecção ou supressão de incêndio e redundância adequadas às instalações.

• Controles contratuais e de garantia para data centers de terceiros.

‍

D. GERENCIAMENTO DE IDENTIDADE E ACESSO

• Identidades de usuário únicas e acesso baseado em funções.

• Princípios de privilégio mínimo e necessidade de conhecimento.

• Autenticação multifator para acesso administrativo privilegiado ou remoto, quando tecnicamente suportado.

• Controles robustos de autenticação e gerenciamento de credenciais.

• Revisão periódica de acessos privilegiados e outros acessos sensíveis.

• Contas de emergência e de serviço controladas.

• Controles de tempo limite de sessão, bloqueio e registro de logs adequados ao sistema.

‍

E. SEGURANÇA DE REDE E INFRAESTRUTURA

• Controles de rede em camadas, segmentação, firewalls, filtragem e interfaces administrativas restritas.

• Configurações reforçadas e protocolos de gerenciamento seguros.

• Controles de detecção, mitigação, roteamento, filtragem e policiamento de tráfego DDoS relevantes para os Serviços.

• Proteção de planos de gerenciamento e separação do tráfego do cliente, quando apropriado.

• Monitoramento de atividades anômalas, acesso não autorizado, abuso e ataques.

• Arquitetura resiliente, redundância e gerenciamento de capacidade adequados ao Serviço.

‍

F. CRIPTOGRAFIA E GERENCIAMENTO DE CHAVES

• Criptografia de Dados Pessoais do Cliente em trânsito por redes públicas usando protocolos aceitos pelo setor, sempre que tecnicamente viável.

• Criptografia em repouso para Dados Pessoais do Cliente armazenados em sistemas, conforme apropriado ao risco e tecnicamente suportado.

• Proteção, acesso restrito, rotação e gestão do ciclo de vida de chaves criptográficas e segredos.

• Práticas seguras de configuração de certificados e protocolos.

O Cliente reconhece que a Nexusguard pode precisar inspecionar tráfego não criptografado, descriptografar tráfego usando chaves fornecidas pelo Cliente ou receber dados de pacotes em texto simples, conforme exigido pelo Serviço de segurança configurado.

‍

G. DESENVOLVIMENTO SEGURO E CONTROLE DE ALTERAÇÕES

• Práticas de desenvolvimento de software seguro adequadas ao software desenvolvido pela Nexusguard.

• Revisão de código, gestão de dependências, testes e implantação controlada.

• Separação de ambientes de desenvolvimento, teste e produção, quando apropriado.

• Autorização, teste, planejamento de reversão e registro de alterações.

• Medidas projetadas para evitar alterações não autorizadas de código ou configuração.

‍

H. GESTÃO DE VULNERABILIDADES E PATCHES

• Varredura e avaliação de vulnerabilidades com base no risco do sistema.

• Priorização e remediação de vulnerabilidades de segurança baseadas em risco.

• Gestão de patches e atualizações para sistemas suportados.

• Testes de penetração ou avaliação técnica comparável periodicamente e após alterações materiais, quando apropriado.

• Processos para receber, avaliar e tratar vulnerabilidades reportadas.

‍

I. REGISTRO, MONITORAMENTO E DETECÇÃO

• Registro de acessos administrativos relevantes, eventos de segurança, alterações de configuração e atividade do sistema.

• Proteção de logs contra acesso e alteração não autorizados.

• Sincronização de tempo adequada para investigação e correlação.

• Monitoramento e alertas para atividades suspeitas ou anômalas.

• Retenção de logs por períodos adequados aos requisitos operacionais, de segurança, contratuais e legais.

• Acesso a logs limitado com base na função e na necessidade.

‍

J. RESPOSTA A INCIDENTES

• Procedimentos documentados de resposta a incidentes e escalonamento.

• Pessoal designado para investigar, conter, erradicar, recuperar e comunicar incidentes.

• Preservação de evidências relevantes e manutenção de registros de incidentes.

• Testes ou exercícios periódicos dos processos de resposta a incidentes.

• Análise pós-incidente e acompanhamento de ações corretivas.

• Notificação e cooperação do Cliente conforme descrito na Seção 6.

‍

K. DISPONIBILIDADE, CONTINUIDADE E RECUPERAÇÃO

• Redundância e failover adequados ao Serviço aplicável.

• Controles de backup e restauração para Dados Pessoais do Cliente armazenados e configurações críticas, quando aplicável.

• Planejamento de continuidade de negócios e recuperação de desastres.

• Testes periódicos de capacidades de restauração ou recuperação.

• Monitoramento de capacidade, disponibilidade e dependências críticas.

‍

L. CICLO DE VIDA DE DADOS E MÍDIA

• Procedimentos de retenção e exclusão alinhados aos Serviços e à Seção 11.

• Descarte ou higienização segura de mídias e sistemas antes da reutilização ou desativação.

• Restrições a mídias removíveis e armazenamento local adequadas ao risco.

• Controles projetados para impedir cópia, exportação ou divulgação não autorizada.

• Procedimentos para retenção legal e retenção obrigatória.

‍

M. SEPARAÇÃO DE LOCATÁRIO E FINALIDADE

• Segregação lógica de contas, configurações, relatórios e dados armazenados de clientes em sistemas multilocatários.

• Verificações de autorização projetadas para impedir o acesso entre clientes.

• Separação de dados e funções por cargo, locatário, módulo ou finalidade, quando apropriado.

• Uso controlado de dados de produção em ambientes que não sejam de produção.

‍

N. SEGURANÇA DO FORNECEDOR E DO SUBPROCESSADOR

• Due diligence baseada em risco antes da integração de Subprocessadores relevantes.

• Obrigações contratuais de segurança e privacidade.

• Revisão contínua proporcional ao serviço e ao risco.

• Requisitos de notificação de incidentes e cooperação.

• Controles de rescisão e de devolução ou exclusão de dados.

‍

O. GARANTIA E MELHORIA CONTÍNUA

• Revisão interna e auditoria ou certificação independente apropriada aos Serviços.

• Processos de ação corretiva para conclusões materiais.

• Atualizações do programa de segurança baseadas em inteligência de ameaças, incidentes, testes, alterações legais e desenvolvimento técnico.

• Mediante solicitação apropriada e sujeita a confidencialidade, informações de garantia relevantes e atualizadas, que podem incluir materiais ISO/IEC 27001, PCI DSS e SOC 2, quando aplicável.

‍

P. RESPONSABILIDADE PARTILHADA POR SERVIÇOS LOCAIS E HÍBRIDOS

Para infraestruturas controladas pelo Cliente, controladas por parceiros ou locais (on-premises), o Cliente é responsável pela segurança física, segurança da rede local, gestão de identidades, conectividade do sistema, ambiente de hardware suportado, chaves e certificados geridos pelo Cliente, configurações do Cliente e outros controlos atribuídos ao Cliente na Documentação ou no Pedido. A Nexusguard é responsável pelos controlos dentro dos componentes e atividades que controla. A gestão remota, o SOC gerido, o desvio na nuvem, o suporte e a telemetria podem estender o Tratamento da Nexusguard para além do ambiente local, conforme configurado ou solicitado.

‍

ANEXO 3 — TERMOS DE TRANSFERÊNCIA INTERNACIONAL

‍

A. CLÁUSULAS CONTRATUAIS-TIPO DA UE

1. Aplicação. As Cláusulas Contratuais-Tipo da UE aplicam-se a Transferências Restritas regidas pelo RGPD da UE quando não existir uma decisão de adequação ou outro mecanismo de transferência legal que cubra a transferência.

2. Módulos.

• O Módulo Dois aplica-se a transferências de um Controlador para um Operador.

• O Módulo Três aplica-se a transferências de um Operador para um Suboperador.

• Se mais de uma função for aplicável, cada Módulo correspondente aplica-se ao Tratamento relevante.

3. Eleições.

• A Cláusula 7 (Cláusula de Adesão) é aplicável.

• Aplica-se a Cláusula 9, Opção 2 (autorização geral por escrito). O período de notificação é o período declarado na Seção 8.3 deste DPA.

• A linguagem opcional na Cláusula 11 não se aplica.

• Nos termos da Cláusula 17, aplica-se a Opção 1. A lei aplicável é a lei do país do EEE em que o exportador de dados está estabelecido, desde que essa lei permita direitos de beneficiário de terceiros. Caso contrário, aplica-se a lei irlandesa.

• Nos termos da Cláusula 18, as disputas serão resolvidas pelos tribunais correspondentes à lei aplicável selecionada nos termos da Cláusula 17; se a lei irlandesa for aplicável, aplicam-se os tribunais da Irlanda.

4. Anexo I.A — Lista de partes.

Exportador de dados: Cliente e qualquer Afiliada do Cliente autorizada que exporte Dados Pessoais do Cliente. Seu nome, endereço, detalhes de contato, atividades e função estão declarados no Contrato Principal, no Pedido aplicável e no Anexo 1.

Importador de dados: Nexusguard Pte. Ltd. e/ou a afiliada da Nexusguard identificada no Contrato Principal ou Pedido aplicável. Contato: o contato de privacidade publicado pela Nexusguard ou de outra forma designado por escrito.

Assinatura e data: A execução ou aceitação eletrônica válida do Contrato Principal ou deste DPA pelas partes constitui a assinatura e datação das SCCs da UE.

5. Anexo I.B — Descrição da transferência. O Anexo 1 descreve as categorias de Titulares dos Dados, categorias de Dados Pessoais, dados sensíveis e salvaguardas, frequência, natureza, finalidades, duração, retenção e objeto. As transferências para Subprocessadores são descritas pela lista atual de Subprocessadores e pelo Pedido aplicável.

6. Anexo I.C — Autoridade supervisora competente. A autoridade supervisora competente é determinada nos termos da Cláusula 13 das SCCs da UE.

7. Anexo II — Medidas de Segurança. O Anexo 2 constitui o Anexo II das SCCs da UE.

8. Anexo III — Subprocessadores. A lista atual de Subprocessadores disponibilizada nos termos da Seção 8 constitui o Anexo III para o Módulo Três.

9. Conflito. Se este DPA entrar em conflito com as SCCs da UE, as SCCs da UE prevalecem para a Transferência Restrita.

‍

B. REINO UNIDO

1. O Adendo do Reino Unido aplica-se a Transferências Restritas regidas pela Lei de Proteção de Dados do Reino Unido, onde as SCCs da UE são utilizadas como as cláusulas aprovadas subjacentes.

2. Tabela 1. As partes, contatos e detalhes de assinatura são aqueles constantes na Parte A.4 acima, adaptados para que "exportador de dados" e "importador de dados" tenham os significados atribuídos no Adendo do Reino Unido.

3. Tabela 2. As SCCs da UE, Módulos, cláusulas e opções selecionados são aqueles constantes na Parte A acima.

4. Tabela 3. As Informações do Apêndice constam no Anexo 1, no Anexo 2 e na lista atual de Subprocessadores.

5. Tabela 4. Qualquer uma das partes pode rescindir o Adendo do Reino Unido conforme permitido pelas suas cláusulas obrigatórias caso o Comissário de Informação do Reino Unido emita termos aprovados revisados.

6. As cláusulas obrigatórias da Parte 2 do Adendo do Reino Unido são incorporadas sem modificações. As referências à Lei de Proteção de Dados do Reino Unido incluem as alterações feitas pela Lei de Dados (Uso e Acesso) de 2025 e qualquer legislação sucessora.

‍

C. SUÍÇA

Para Transferências Restritas regidas pela Lei Federal Suíça sobre Proteção de Dados:

• as referências ao RGPD nas Cláusulas Contratuais-Tipo da UE são interpretadas como referências à Lei Federal Suíça sobre Proteção de Dados, na medida do necessário;

• "dados pessoais" e "titular dos dados" têm os significados previstos na lei suíça;

• as referências a um Estado-Membro ou à União incluem a Suíça, quando apropriado;

• a autoridade supervisora competente é o Comissário Federal de Proteção de Dados e Informações da Suíça;

• a lei aplicável e os tribunais serão os da Suíça quando exigido para direitos previstos na lei suíça, sem impedir que os Titulares dos Dados na Suíça apresentem reclamações na Suíça;

• as Cláusulas Contratuais-Tipo da UE protegem os dados de pessoas jurídicas apenas na medida em que a lei suíça exija; e

• as partes aplicarão quaisquer adaptações reconhecidas ou exigidas pelo Comissário Federal de Proteção de Dados e Informações da Suíça.

‍

D. MEDIDAS SUPLEMENTARES

Quando uma avaliação de transferência identificar um risco material de que o mecanismo de transferência, por si só, não ofereça a proteção necessária, a Nexusguard aplicará medidas suplementares razoáveis adequadas ao Serviço. Estas podem incluir criptografia, pseudonimização, minimização de dados, controles de acesso, localização, processamento dividido, transparência, revisão de solicitações governamentais ou salvaguardas contratuais.

‍

‍

ANEXO 4 — TERMOS DE PRIVACIDADE ESTADUAIS DOS ESTADOS UNIDOS

‍

A. FUNÇÕES E FINALIDADES

Quando uma lei de privacidade estadual aplicável dos Estados Unidos utiliza os conceitos de empresa e prestador de serviços, controlador e processador, ou contratado, o Cliente é a empresa ou controlador e a Nexusguard é o prestador de serviços, processador ou contratado para os Dados Pessoais do Cliente.

2. Os fins limitados e especificados para o Processamento são os Serviços e atividades descritos na Seção 3 e no Anexo 1. As partes concordam que esses fins são razoavelmente necessários e proporcionais para fornecer, proteger, oferecer suporte, manter e melhorar os Serviços, conforme permitido por lei.

‍

B. RESTRIÇÕES

A Nexusguard não deve:

• vender ou compartilhar Dados Pessoais do Cliente;

• reter, usar ou divulgar Dados Pessoais do Cliente fora do relacionamento comercial direto com o Cliente ou para um fim comercial que não seja os fins limitados e especificados;

• combinar Dados Pessoais do Cliente com Dados Pessoais recebidos de outra pessoa ou coletados da própria interação da Nexusguard com um Titular de Dados, exceto conforme expressamente permitido para um prestador de serviços ou processador pela lei aplicável;

• usar Dados Pessoais do Cliente para publicidade comportamental em contexto cruzado ou publicidade direcionada; ou

• tentar reidentificar dados que atendam ao padrão legal aplicável para dados desidentificados ou agregados.

‍

C. COMPROMISSOS OBRIGATÓRIOS

1. A Nexusguard cumprirá as obrigações aplicáveis impostas a prestadores de serviços, processadores e contratados, e fornecerá o mesmo nível de proteção de privacidade exigido pela lei de privacidade estadual aplicável para o Processamento relevante.

2. A Nexusguard notificará o Cliente caso determine que não pode mais cumprir suas obrigações.

3. O Cliente pode tomar medidas razoáveis e apropriadas para ajudar a garantir um Processamento consistente e para interromper e remediar o uso não autorizado, inclusive por meio dos direitos de informação e auditoria na Seção 10.

4. A Nexusguard fornecerá assistência razoável com solicitações autenticadas de consumidores, conforme descrito na Seção 7, e não responderá diretamente, exceto conforme permitido por lei ou instruído pelo Cliente.

5. A Nexusguard exigirá que cada Subprocessador relevante cumpra restrições equivalentes.

6. As partes reconhecem que o Cliente divulga Dados Pessoais do Cliente à Nexusguard apenas para os fins comerciais limitados e especificados neste DPA e que a Nexusguard não recebe Dados Pessoais como contraprestação pelos Serviços.

‍

D. REFERÊNCIAS À CCPA

Para Dados Pessoais da Califórnia, as referências à Lei de Privacidade do Consumidor da Califórnia (CCPA) incluem as alterações feitas pela Lei de Direitos de Privacidade da Califórnia (CPRA) e os regulamentos aplicáveis. Os fins comerciais incluem a detecção de incidentes de segurança, a resistência a ações maliciosas ou ilegais, a manutenção ou atendimento de contas, a prestação de serviço ao cliente, o processamento ou cumprimento de pedidos e transações, a verificação de informações do cliente, o processamento de pagamentos quando solicitado, o fornecimento de análises limitadas aos Serviços, a manutenção da qualidade e segurança, e outros fins permitidos para um prestador de serviços ou contratado.

‍

ANEXO 5 — TERMOS DA LEI DE PROTEÇÃO DE DADOS PESSOAIS DE SINGAPURA

‍

A. FUNÇÃO

Sempre que a Nexusguard processe Dados Pessoais do Cliente em nome do Cliente ao abrigo da Lei de Proteção de Dados Pessoais de Singapura de 2012 (“PDPA de Singapura”), a Nexusguard atua como intermediário de dados e o Cliente atua como a organização que a contrata, a menos que uma atividade de Processamento separada torne a Nexusguard uma organização por direito próprio.

‍

B. OBRIGAÇÕES DO INTERMEDIÁRIO DE DADOS

A Nexusguard deve:

• tomar medidas de segurança razoáveis para proteger os Dados Pessoais do Cliente contra acesso, recolha, utilização, divulgação, cópia, modificação, eliminação ou riscos semelhantes não autorizados;

• cessar a retenção ou anonimizar os Dados Pessoais do Cliente quando for razoável assumir que a finalidade já não é cumprida e a retenção já não é necessária para fins legais ou comerciais, sujeito à Secção 11;

• notificar o Cliente sem atrasos indevidos após a Nexusguard ter motivos credíveis para acreditar que ocorreu uma Violação de Dados Pessoais, de acordo com a Secção 6; e

• prestar assistência razoável ao Cliente com as suas obrigações de avaliação e notificação.

‍

C. TRANSFERÊNCIAS PARA O ESTRANGEIRO

Para uma transferência de Dados Pessoais do Cliente para fora de Singapura, a Nexusguard deve garantir que o destinatário está vinculado por obrigações legalmente executáveis de fornecer um padrão de proteção comparável à PDPA de Singapura, a menos que se aplique outra exceção ou base legal. As proteções neste DPA destinam-se a fornecer essas obrigações executáveis.

‍

D. RESPONSABILIDADE DO CLIENTE

O Cliente permanece responsável pelas suas obrigações enquanto organização ao abrigo da PDPA de Singapura, incluindo a responsabilidade, notificação, consentimento ou outra autorização, limitação de finalidade, exatidão, acesso e correção, e a determinação de se uma violação é passível de notificação.

‍

FIM DO DPA