ANEXO AO CONTRATO DE PRESTAÇÃO DE SERVIÇOS DE SOFTWARE DE GESTÃO EDUCACIONAL

1. DEFINIÇÕES

1.1.  Para os efeitos deste Anexo, os termos abaixo definidos terão os seguintes significados:

“Controlador de Dados” – refere-se àquele que é responsável pela coleta dos dados pessoais e determina as finalidades e os meios de Tratamento/Processamento dos Dados Pessoais; no presente caso, é a Contratante.

“Operador de Dados” – refere-se àquele que recebe os dados pessoais do Controlador de Dados e trata/processa os Dados Pessoais em nome do Controlador de Dados;

“Titular de Dados” – refere-se a uma pessoa física identificada ou identificável, nos termos da LGPD;

“Instrução” – refere-se a uma instrução por escrito, enviada pelo Controlador de Dados ao Operador de Dados, para que este execute uma ação específica com relação aos Dados Pessoais (todo e qualquer tipo de tratamento/processamento inclusive despersonalização, bloqueio, exclusão, disponibilização etc.);

“Dados Pessoais” – informação relacionada a pessoa natural identificada ou identificável;

“Dados Pessoais Sensíveis” – dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

“Dado Anonimizado” – Dado Pessoal relativo à Titular de Dados que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu Tratamento;

“Violação dos Dados Pessoais” – refere-se a uma violação da segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso aos Dados Pessoais transmitidos ou armazenados;

“Tratamento/Processamento” – refere-se a toda operação realizada com algum tipo de manuseio de Dados Pessoais: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, edição, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

“Serviços” – refere-se ao Processamento dos Dados Pessoais pelo Operador de Dados relacionado e para as finalidades de prestação dos serviços a serem prestados pela Contratada ao Contratante, relacionados ao Contrato de Prestação de Serviços de Software de Gestão Educacional (“Contrato”);

“SubOperador” – refere-se a qualquer Operador contratado pelo Operador de Dados (ou por qualquer outro SubOperador do Operador de Dados) que concorde em receber do Operador de Dados (ou de qualquer outro SubOperador do Operador de Dados) Dados Pessoais exclusivamente destinados ao Tratamento/Processamento em nome do Controlador de Dados após a transferência, de acordo com as Instruções do Controlador de Dados e nos termos do subcontrato escrito.

1.2. Os demais termos iniciados em letra maiúscula, se não tiverem suas definições referidas na Cláusula 1.1 acima, terão seus significados definidos no Contrato.

2. ESCOPO E APLICAÇÃO DESTE ANEXO

2.1. A Contratada, enquanto OPERADOR DE DADOS, ao prestar os Serviços à Contratante, irá observar as premissas da LGPD, em especial os princípios da finalidade, adequação, transparência, livre acesso, segurança, prevenção e não discriminação no tratamento dos dados.

2.2. Este Anexo será aplicável, em relação aos Serviços, a:

1. todos os Dados Pessoais compartilhados por ou em nome do CONTROLADOR DE DADOS ao OPERADOR DE DADOS para Processamento;

2. todos os Dados Pessoais acessados pelo OPERADOR DE DADOS sob a autorização do CONTROLADOR DE DADOS para Processamento; e

3. todos os Dados Pessoais recebidos, de outra forma, pelo OPERADOR DE DADOS para Processamento em nome do CONTROLADOR DE DADOS.

2.3. O OPERADOR DE DADOS processará os Dados Pessoais e eventuais Dados Pessoais Sensíveis que compõem a base de dados do CONTROLADOR DE DADOS, com a finalidade de prestação dos Serviços descritos no Contrato. Os tipos de dados são: nome, CPF e dados de outros documentos pessoais (como RG, certidão de nascimento, carteira profissional…), endereço, telefone, e-mail, data de nascimento, vínculo com outras pessoas, caso aplicável (pais e responsáveis), digitalização de documentos pessoais e dados de ficha de saúde. O CONTROLADOR DE DADOS tem autonomia para definir quais campos e informações devem ser preenchidos pelos seus usuários no sistema do OPERADOR DE DADOS, e pode ainda, criar outros campos dinâmicos que podem ou não conter Dados Pessoais, ficando sobre exclusivo critério do CONTROLADOR DE DADOS a definição de quais informações podem ser preenchidas e dos níveis de acesso dos seus próprios usuários e colaboradores.

2.4. O OPERADOR DE DADOS poderá processar os Dados Pessoais dos clientes do CONTROLADOR DE DADOS, bem como dos clientes de suas subsidiárias. O OPERADOR DE DADOS também poderá processar os Dados Pessoais fornecidos pelos usuários finais dos Serviços, que poderá incluir os Dados Pessoais dos funcionários atuais, ex-funcionários e usuários finais.

2.5. Os Dados Pessoais não serão mantidos por mais tempo do que o necessário para alcançar os fins para os quais foram coletados, tratados/processados, ou conforme estabelecido na legislação aplicável no que diz respeito a períodos de preservação de dados. A gestão sobre a definição dos Dados Pessoais armazenados cabe exclusivamente ao CONTROLADOR DE DADOS, por ser o único operador de informações do sistema e responsável pelos cadastramentos de dados.

2.5.1. Para fins de Backups, caso o OPERADOR DE DADOS tenha sido contratado para essa finalidade, fica acordado que o OPERADOR DE DADOS poderá aplicar um prazo de retenção de informações de 7 (sete) dias. Fica revogada parte da Cláusula 3.1.2 do anexo contratual sobre “SERVIÇOS DE TI”.

2.5.2. Nos casos em que o OPERADOR DE DADOS demandar a necessidade de manter uma cópia da base de dados do CONTROLADOR DE DADOS por mais tempo, com o objetivo de ter um ambiente de simulações de procedimentos técnicos operacionais para apoiar nos testes e simulações de ações realizadas pelo software em favor do CONTROLADOR DE DADOS, deve o OPERADOR DE DADOS realizar uma anonimização de informações de cadastros pessoais de modo a inviabilizar a identificação de qualquer informação.

3. PROCESSAMENTO DOS DADOS

3.1. O OPERADOR DE DADOS concorda em:

1. processar os Dados Pessoais somente em nome do CONTROLADOR DE DADOS e sempre em conformidade com as instruções  fundamentadas nesse Anexo, com a legislação de proteção de dados aplicáveis e somente para os fins relacionado à prestação dos Serviços do Contrato e para nenhuma outra finalidade ou de qualquer outra forma, salvo com o consentimento prévio por escrito do CONTROLADOR DE DADOS. As instruções deverão ser solicitadas por escrito e através da Ferramenta de Atendimento indicada pelo OPERADOR DE DADOS. Se o OPERADOR DE DADOS não puder oferecer esta conformidade por qualquer motivo, esse concorda em notificar imediatamente o CONTROLADOR DE DADOS sobre a sua incapacidade em cumprir o solicitado. Caso o OPERADOR DE DADOS acreditar que a conformidade com qualquer instrução dada pelo CONTROLADOR DE DADOS poderá resultar em violação de qualquer lei aplicável sobre proteção de dados, o OPERADOR DE DADOS notificará o CONTROLADOR DE DADOS por escrito, dentro de um período de 03 (três dias úteis).

2. adotar medidas técnicas e administrativas para proteger adequadamente os Dados Pessoais recebidos do CONTROLADOR DE DADOS contra uso indevido, perda, roubo, violações e vazamento de dados, restando claro que a responsabilidade do OPERADOR DE DADOS se restringe somente aos Serviços contratados pelo  CONTROLADOR DE DADOS descritos no Contrato.

3. em assegurar que cada um dos seus respectivos funcionários, agentes e SubOperadores estejam cientes das suas respectivas obrigações, nos termos deste aditivo, com relação à segurança e proteção dos Dados pessoais e exigirá que celebrem obrigações vinculativas com o OPERADOR DE DADOS para manter os níveis de segurança e proteção previstos neste aditivo;

4. assegurar que qualquer pessoa envolvida no Tratamento/Processamento dos Dados Pessoais do CONTROLADOR DE DADOS, tenha se comprometido com a confidencialidade;

5. não divulgar os Dados Pessoais, direta ou indiretamente, a qualquer terceiro, de outra forma, sem o consentimento prévio expresso e por escrito do CONTROLADOR DE DADOS, salvo para os funcionários, prestadores de serviço exclusivos, agentes e SubOperadores do OPERADOR DE DADOS que estejam envolvidos no Tratamento/Processamento dos Dados pessoais e que estão sujeitos às obrigações de proteção de dados e confidencialidade, ou salvo conforme exigido por qualquer lei ou regulamento;

6. notificar imediatamente o CONTROLADOR DE DADOS sobre:

   1. qualquer solicitação juridicamente vinculativa para divulgação dos Dados Pessoais feita por qualquer autoridade;

   2. interrupção substancial dos Serviços ou interrupções graves das operações, desde que estas  comprometam impacto a privacidade e proteção dos dados pessoais, sendo que outras situações de processamento que não afetarem tal segurança, não necessitam ser comunicadas;

   3. qualquer solicitação recebida diretamente dos Titulares de Dados a qual não responderá, salvo se autorizado por escrito a fazê-lo, pelo CONTROLADOR DE DADOS;

   4. caso os Titulares de Dados venham a exercer qualquer um de seus respectivos direitos nos termos da legislação aplicável relacionada aos Dados Pessoais, o OPERADOR DE DADOS informará o CONTROLADOR DE DADOS o mais rapidamente possível, e o OPERADOR DE DADOS concorda, além disso, em auxiliar o CONTROLADOR DE DADOS com todas as solicitações de Titulares de Dados que possam ser recebidas de qualquer Titular de Dados relacionadas a qualquer Dado Pessoal tendo o OPERADOR DE DADOS o prazo de 7 (sete) dias para resposta, até que seja definido prazo diferente pela Autoridade Nacional de Proteção de Dados- ANPD; e

   5. levando em conta a natureza do Tratamento/Processamento, em auxiliar o CONTROLADOR DE DADOS por meio de medidas técnicas e administrativas adequadas, desde que possível, para o cumprimento da obrigação do CONTROLADOR DE DADOS, em responder às solicitações para exercer os direitos do Titular dos Dados.

4. OBRIGAÇÕES DO CONTROLADOR DE DADOS

4.1. Dentro do escopo deste Anexo e restrito a este, o CONTROLADOR DE DADOS concorda em:

1. assegurar que qualquer divulgação de Dados Pessoais feita pelo CONTROLADOR DE DADOS ao OPERADOR DE DADOS seja feita com o consentimento inequívoco do Titular de Ddos ou esteja amparado em uma das bases legais que a legislação determina. Além disso, o CONTROLADOR DE DADOS  assegura que cumpre com todos os requisitos da LGPD enquanto CONTROLADOR DE DADOS, ciente de que terá a responsabilidade exclusiva pela precisão, qualidade, legalidade e confiabilidade dos Dados Pessoais e dos meios pelos quais obtém acesso aos Dados Pessoais para o Tratamento/Processamento pelo OPERADOR DE DADOS; e

2. definir, na qualidade de CONTROLADOR DE DADOS, políticas de segurança a qual estabeleça a utilização pelos seus colaboradores, de logins e senhas ao acessarem o sistema de atendimento do OPERADOR DE DADOS, e que não compartilhem senhas e acessos e garanta que os cadastros sejam mantidos atualizados de forma contínua e com segurança. O CONTROLADOR DE DADOS reconhece que UniSAC é o canal oficial de relacionamento para solicitações e manterá, e será o único responsável por apenas pessoas autorizadas terem amplo acesso a dados pessoais, conectados a este ambiente.

4.2. O banco de dados é mantido sob responsabilidade do OPERADOR DE DADOS, caso o OPERADOR DE DADOS tenha sido contratado também para esta finalidade, e aplicando-se tal serviço, caso o CONTROLADOR DE DADOS venha pedir acesso a esse, terá total responsabilidade com relação à liberação do acesso, isentando o OPERADOR DE DADOS de qualquer erro ou falha que possa ocorrer.

4.3. Em caso de liberação de APIs ou integrações, por qualquer outro meio, envolvendo outras empresas, o OPERADOR DE DADOS não terá responsabilidade alguma pelas ações, segurança e eventuais vazamento de dados, sendo a responsabilidade atribuída totalmente ao CONTROLADOR DE DADOS e ao outro OPERADOR DE DADOS (terceiro) sobre qualquer tipo de tratamento dos dados.

5. NOMEAÇÃO DE SUBOPERADORES

5.1. O OPERADOR DE DADOS informará ao CONTROLADOR DE DADOS sobre qualquer alteração pretendida relacionada à adição ou substituição de outros SubOperadores, dando ao CONTROLADOR DE DADOS a oportunidade de se opor a estas alterações.

5.2. Qualquer Tratamento/Processamento realizado por um SubOperador será feito nos termos de um contrato firmado que não seja menos restritivo do que este Anexo.

5.3. O previsto nos itens 5.1 e 5.2 deverá ser autorizado mediante aviso prévio ao CONTROLADOR DE DADOS através dos e-mails cadastrados na Área de Clientes, e também, por aviso fixado na tela de login deste mesmo ambiente, e que em caso de discordância terá a oportunidade se definir se deseja manter ou não a contratação dos serviços, tendo ciência  de que qualquer mudança proposta pelo OPERADOR DE DADOS não impactará na redução da segurança dos dados do CONTROLADOR DE DADOS.