Como o presente Acordo é celebrado
O presente Acordo de Tratamento de Dados (na Alemanha e na Áustria, um Auftragsverarbeitungsvertrag ou AVV) faz parte integrante dos Termos de Serviço do FastComments. Produz efeitos automaticamente, sem assinatura e sem qualquer outra diligência de qualquer das partes, em relação a todo Cliente que utilize o Serviço para tratar dados pessoais na qualidade de responsável pelo tratamento sujeito ao RGPD, ao RGPD do Reino Unido ou à LPD suíça. O artigo 28.º, n.º 9, do RGPD exige que o presente contrato revista a forma escrita, inclusive em formato eletrônico; a aceitação dos Termos de Serviço satisfaz essa exigência.
A WinrickLabs LLC assinou o presente Acordo antecipadamente. Sua assinatura consta da seção 24. O Cliente que necessite de um exemplar contra-assinado para seus próprios registros pode preencher seus dados nesta página para gerá-lo, ou solicitá-lo pelo endereço privacy@fastcomments.com.
Considerandos
A. O Responsável pelo Tratamento e o Subcontratante estabeleceram uma relação comercial no âmbito da qual o Subcontratante fornece uma plataforma online hospedada de comentários, chat ao vivo e discussão (o "Serviço").
B. Essa relação é regida pelos Termos de Serviço publicados em https://fastcomments.com/terms-of-service (o "Contrato Principal").
C. A utilização do Serviço pelo Responsável pelo Tratamento envolve o tratamento de dados pessoais sujeitos ao Regulamento (UE) 2016/679 (o "RGPD"), ao Regulamento Geral sobre a Proteção de Dados do Reino Unido, conjugado com o Data Protection Act 2018 (em conjunto, o "RGPD do Reino Unido") e/ou à Lei Federal Suíça de Proteção de Dados (a "LPD"). As partes acordam, por conseguinte, nas cláusulas exigidas pelo artigo 28.º do RGPD e, quando aplicável, pelo Capítulo V do RGPD.
1. Definições
"Dados Pessoais do Cliente" designa os dados pessoais contidos em, ou deles derivados, comentários, mensagens de chat, respostas, votos, reações, denúncias, uploads, perfis de usuários finais, atributos de single sign-on e registros de moderação submetidos ao Serviço ou gerados por meio dele por conta do Responsável pelo Tratamento.
"Dados da Conta" designa os dados de contato, faturamento, autenticação, suporte e uso do produto do próprio Responsável pelo Tratamento.
"Legislação de Proteção de Dados" designa o RGPD, o RGPD do Reino Unido, a LPD e qualquer outra legislação de proteção de dados aplicável ao tratamento realizado por uma das partes ao abrigo do presente Acordo.
"Subcontratante ulterior" designa qualquer terceiro contratado pelo Subcontratante para tratar Dados Pessoais do Cliente.
"CCT" designa as cláusulas contratuais-tipo anexas à Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021.
"Adendo do Reino Unido" designa o International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, emitido pelo Information Commissioner ao abrigo da section 119A do Data Protection Act 2018, versão B1.0, em vigor desde 21 de março de 2022.
"Página de Subcontratantes Ulteriores" designa https://fastcomments.com/dpa/sub-processors.
"Data de Entrada em Vigor" designa a data em que o Responsável pelo Tratamento aceitou pela primeira vez o Contrato Principal, ou a data em que o presente Acordo for contra-assinado, consoante a que ocorrer primeiro.
Os termos "responsável pelo tratamento", "subcontratante", "dados pessoais", "tratamento", "violação de dados pessoais", "titular dos dados" e "autoridade de controlo" têm o significado que lhes é atribuído pelo artigo 4.º do RGPD.
2. Âmbito, incorporação e ordem de prevalência
2.1 O presente Acordo faz parte integrante do Contrato Principal e aplica-se a todo o tratamento de Dados Pessoais do Cliente pelo Subcontratante.
2.2 O presente Acordo substitui quaisquer condições anteriores de tratamento de dados acordadas entre as partes.
2.3 Em caso de conflito entre o presente Acordo e o Contrato Principal, incluindo os Termos de Serviço e a Política de Privacidade, prevalece o presente Acordo no que respeita ao tratamento de Dados Pessoais do Cliente. Em caso de conflito entre o presente Acordo e as CCT, prevalecem as CCT.
2.4 Os Anexos e Apêndices fazem parte integrante do presente Acordo.
3. Funções das partes
3.1 No que respeita aos Dados Pessoais do Cliente, o Cliente é o responsável pelo tratamento e a WinrickLabs LLC é a subcontratante.
3.2 No que respeita aos Dados da Conta, a WinrickLabs LLC atua como responsável pelo tratamento independente. Esse tratamento rege-se pela Política de Privacidade e não pelo presente Acordo.
3.3 Caso o Responsável pelo Tratamento seja ele próprio um subcontratante que atua por conta de um responsável pelo tratamento terceiro, garante que dispõe de autoridade para designar o Subcontratante como subcontratante ulterior, aplicando-se o presente Acordo mutatis mutandis, com a substituição do Módulo Dois das CCT pelo Módulo Três.
3.4 Caso o Subcontratante determine as finalidades e os meios do tratamento de quaisquer Dados Pessoais do Cliente, é responsável pelo tratamento no que respeita a esse tratamento para efeitos do artigo 28.º, n.º 10, do RGPD.
4. Tratamento mediante instruções documentadas
4.1 O Subcontratante trata os Dados Pessoais do Cliente apenas mediante instruções documentadas do Responsável pelo Tratamento, inclusive no que respeita a transferências para um país terceiro. O presente Acordo, o Contrato Principal, a documentação do Serviço e a utilização, pelo Responsável pelo Tratamento, das opções de configuração disponibilizadas pelo Serviço constituem, em conjunto, a totalidade das instruções documentadas do Responsável pelo Tratamento.
4.2 O Subcontratante não vende Dados Pessoais do Cliente, não os divulga senão conforme instruído ou exigido por lei e não os utiliza para qualquer finalidade que não seja a prestação do Serviço. O Subcontratante não utiliza Dados Pessoais do Cliente para desenvolver, treinar, ajustar ou avaliar qualquer modelo de aprendizado de máquina ou de inteligência artificial, e exige o mesmo de qualquer Subcontratante ulterior que os receba para fins de classificação ou moderação automatizadas.
4.3 Caso o direito da União, de um Estado-Membro, do Reino Unido ou outra legislação aplicável exija que o Subcontratante trate Dados Pessoais do Cliente de forma diversa das instruções do Responsável pelo Tratamento, o Subcontratante informa o Responsável pelo Tratamento dessa exigência legal antes do tratamento, salvo se essa legislação proibir tal informação por motivos importantes de interesse público.
4.4 O Subcontratante informa imediatamente o Responsável pelo Tratamento caso, no seu entender, uma instrução viole a Legislação de Proteção de Dados, podendo suspender a execução da instrução em causa até que as partes resolvam a questão.
5. Obrigações e garantias do Responsável pelo Tratamento
5.1 O Responsável pelo Tratamento determina as finalidades e os meios do tratamento dos Dados Pessoais do Cliente e é responsável pela licitude desse tratamento.
5.2 O Responsável pelo Tratamento garante que estabeleceu um fundamento jurídico válido para o tratamento, que prestou aos titulares dos dados em causa todas as informações exigidas pelos artigos 12.º a 14.º do RGPD e que obteve todos os consentimentos necessários para o tratamento e para a colocação de quaisquer cookies ou tecnologias semelhantes pelo Serviço.
5.3 O Responsável pelo Tratamento é responsável pelo conteúdo que seus usuários finais submetem por meio do Serviço e por suas próprias decisões de moderação.
5.4 O Serviço não foi concebido para tratar categorias especiais de dados pessoais na acepção do artigo 9.º do RGPD nem dados pessoais relativos a condenações penais e infrações na acepção do artigo 10.º do RGPD. O Responsável pelo Tratamento instrui seus usuários finais em conformidade e não submete conscientemente tais dados ao Serviço.
6. Confidencialidade do pessoal
6.1 O acesso aos Dados Pessoais do Cliente está limitado às pessoas que dele necessitem para a execução do Contrato Principal. Em 5 de agosto de 2026, nenhum prestador de serviços tem acesso a Dados Pessoais do Cliente.
6.2 Todas as pessoas autorizadas a tratar Dados Pessoais do Cliente estão sujeitas a um dever de confidencialidade que subsiste ao termo de seu vínculo. Antes de conceder a qualquer prestador de serviços acesso a Dados Pessoais do Cliente, o Subcontratante exige um compromisso escrito de confidencialidade em termos não menos protetivos do que os da presente seção.
7. Segurança do tratamento
7.1 O Subcontratante implementa e mantém as medidas técnicas e organizativas descritas no Anexo II, tendo em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como o risco para os direitos e as liberdades das pessoas singulares.
7.2 O Subcontratante pode atualizar essas medidas desde que o nível global de segurança não seja reduzido. As alterações substanciais são publicadas nesta página.
7.3 Cabe ao Responsável pelo Tratamento avaliar se essas medidas correspondem ao seu próprio perfil de risco e configurar o Serviço de forma segura, incluindo suas definições de conservação, suas definições de moderação, sua definição de desanonimização de endereços IP e o manuseio de suas chaves de assinatura de single sign-on.
8. Subcontratantes ulteriores
8.1 O Responsável pelo Tratamento concede ao Subcontratante uma autorização geral por escrito, na acepção do artigo 28.º, n.º 2, do RGPD, para contratar os Subcontratantes ulteriores enumerados no Anexo III e para contratar outros Subcontratantes ulteriores nos termos da presente seção. A Página de Subcontratantes Ulteriores constitui a lista atual de referência e, sempre que divergir do Anexo III, prevalece a Página de Subcontratantes Ulteriores.
8.2 O Subcontratante avisa o Responsável pelo Tratamento com pelo menos 30 dias de antecedência antes de um novo Subcontratante ulterior iniciar o tratamento de Dados Pessoais do Cliente, ou antes de a função de um Subcontratante ulterior existente sofrer alteração substancial. O aviso é dado por e-mail ao administrador da conta e a qualquer contato de privacidade designado no console de administração do FastComments, bem como mediante publicação na Página de Subcontratantes Ulteriores com indicação da data de produção de efeitos. Não é necessária qualquer inscrição em lista de distribuição nem adesão para receber esse aviso.
8.3 Caso uma alteração deva ser efetuada com urgência para preservar a segurança, a integridade ou a continuidade do Serviço, inclusive quando um Subcontratante ulterior existente deixe de prestar o serviço em causa, se torne insolvente ou seu vínculo termine, o Subcontratante pode contratar um substituto e dar o aviso logo que seja razoavelmente praticável. O direito de oposição previsto na seção 8.4 aplica-se sem alterações a partir da data desse aviso.
8.4 O Responsável pelo Tratamento pode opor-se a um novo Subcontratante ulterior por motivos razoáveis relacionados com a proteção de dados, mediante aviso escrito para privacy@fastcomments.com no prazo de 30 dias a contar do aviso previsto nas seções 8.2 ou 8.3.
8.5 Havendo oposição, as partes discutem a questão de boa-fé durante 30 dias e o Subcontratante envida esforços razoáveis para disponibilizar uma alteração que evite o tratamento objeto de oposição. Consoante o Subcontratante ulterior em causa, tal pode incluir a desativação da funcionalidade opcional que o envolve, a configuração do Serviço de modo que o tratamento objeto de oposição não ocorra, ou a migração da conta do Responsável pelo Tratamento para a região União Europeia, que o Subcontratante realiza mediante solicitação e sem encargos. Caso não exista tal alteração disponível, o Responsável pelo Tratamento pode rescindir a parte afetada do Serviço, ou o Contrato Principal, mediante aviso escrito, sem qualquer encargo de rescisão antecipada ou outra consequência desfavorável, e com reembolso proporcional das quantias pagas antecipadamente referentes à parte não utilizada do período contratado. A rescisão com esse fundamento constitui o único recurso do Responsável pelo Tratamento em relação à oposição.
8.6 O Subcontratante impõe a cada Subcontratante ulterior, mediante contrato escrito, obrigações de proteção de dados substancialmente equivalentes às previstas no presente Acordo, incluindo as obrigações de segurança do artigo 32.º do RGPD e, caso o Subcontratante ulterior esteja estabelecido fora do Espaço Econômico Europeu, um mecanismo de transferência adequado. Caso um Subcontratante ulterior ainda não tenha celebrado tal contrato, esse Subcontratante ulterior é identificado como tal no Anexo III, juntamente com o tratamento que realiza, e o Subcontratante diligencia a celebração de um contrato que cumpra a presente seção.
8.7 O Subcontratante mantém-se integralmente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações de cada Subcontratante ulterior.
9. Assistência no exercício dos direitos dos titulares dos dados
9.1 O Subcontratante notifica prontamente o Responsável pelo Tratamento de qualquer pedido que receba diretamente de um titular dos dados relativo a Dados Pessoais do Cliente, e não responde substantivamente a tal pedido, limitando-se a encaminhar o titular dos dados ao Responsável pelo Tratamento, salvo instrução em contrário deste.
9.2 O Subcontratante notifica prontamente o Responsável pelo Tratamento de qualquer outro pedido, reclamação, notificação ou comunicação que receba de uma autoridade de controlo ou de outro regulador competente relativo ao tratamento de Dados Pessoais do Cliente, bem como de qualquer pedido de indenização formulado em relação a esse tratamento.
9.3 Tendo em conta a natureza do tratamento, o Subcontratante assiste o Responsável pelo Tratamento, mediante medidas técnicas e organizativas adequadas e na medida do possível, no cumprimento da obrigação deste de responder a pedidos de exercício dos direitos previstos no Capítulo III do RGPD. O Serviço disponibiliza ao Responsável pelo Tratamento ferramentas para localizar um usuário final, editar, apagar ou anonimizar comentários e mensagens de chat individuais, apagar um usuário final e o conteúdo a ele associado, exportar os dados de comentários e de usuários mantidos na conta do Responsável pelo Tratamento e configurar se os endereços IP são armazenados em forma desanonimizada. Sempre que essas ferramentas permitam ao Responsável pelo Tratamento responder sem a intervenção do Subcontratante, sua disponibilização constitui a assistência exigida pela presente seção. O Subcontratante presta assistência adicional mediante custo razoável.
10. Violação de dados pessoais
10.1 O Subcontratante notifica o Responsável pelo Tratamento sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomar conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente.
10.2 A notificação descreve, na medida do que for conhecido nesse momento: a natureza da violação, incluindo, sempre que possível, as categorias e o número aproximado de titulares dos dados afetados e as categorias e o número aproximado de registros em causa; as consequências prováveis da violação; as medidas adotadas ou propostas para lhe dar resposta, incluindo medidas para atenuar seus eventuais efeitos negativos; e um ponto de contato junto do qual possam ser obtidas informações adicionais. Caso as informações não estejam disponíveis de uma só vez, são prestadas por fases à medida que forem obtidas.
10.3 O Subcontratante presta cooperação e assistência razoáveis ao Responsável pelo Tratamento no que respeita às obrigações próprias deste ao abrigo dos artigos 33.º e 34.º do RGPD.
10.4 A notificação prevista na presente seção não constitui reconhecimento de culpa ou de responsabilidade.
11. Avaliações de impacto sobre a proteção de dados
Tendo em conta a natureza do tratamento e as informações ao seu dispor, o Subcontratante presta assistência razoável ao Responsável pelo Tratamento nas avaliações de impacto sobre a proteção de dados previstas no artigo 35.º do RGPD e na consulta prévia a uma autoridade de controlo prevista no artigo 36.º do RGPD, principalmente mediante a disponibilização do Anexo II, da Página de Subcontratantes Ulteriores, das informações sobre transferências constantes da seção 14 e de respostas escritas a perguntas razoáveis. A assistência que exceda o referido é prestada mediante custo razoável.
12. Eliminação e devolução dos Dados Pessoais do Cliente
12.1 À escolha do Responsável pelo Tratamento, o Subcontratante apaga ou devolve todos os Dados Pessoais do Cliente após o termo da prestação do Serviço e apaga as cópias existentes nos termos da seção 12.3, salvo se o direito da União, de um Estado-Membro ou outra legislação aplicável exigir a conservação continuada.
12.2 O Responsável pelo Tratamento comunica sua escolha por escrito antes do termo da prestação do Serviço ou no prazo de 30 dias após esse termo. Durante esse período, o Responsável pelo Tratamento pode exportar seus dados utilizando as ferramentas de exportação do Serviço. Na ausência de escolha dentro desse período, o Subcontratante apaga os dados.
12.3 A eliminação dos sistemas em produção e de suas réplicas ocorre no prazo de 30 dias a contar da escolha ou do termo do prazo previsto na seção 12.2. As cópias residuais contidas em cópias de segurança rotativas são apagadas quando a cópia de segurança em que constam for sobrescrita no decurso normal de seu ciclo de rotação e, em qualquer caso, no prazo de doze meses. Até então, essas cópias permanecem criptografadas em repouso, não são objeto de tratamento ativo e não são utilizadas para qualquer finalidade que não seja a recuperação de desastres.
12.4 Registros individuais são apagados antes do termo do Serviço mediante instrução do Responsável pelo Tratamento ou de um titular dos dados, utilizando as ferramentas descritas na seção 9.3.
13. Auditorias e demonstração de conformidade
13.1 O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento do artigo 28.º do RGPD e permite e contribui para auditorias, incluindo inspeções, conduzidas pelo Responsável pelo Tratamento ou por outro auditor por este mandatado. As seções 13.2 a 13.5 descrevem como esse direito é exercido na prática.
13.2 Informações mediante pedido. Mediante pedido escrito do Responsável pelo Tratamento e sem qualquer encargo, o Subcontratante disponibiliza no prazo de 30 dias: o Anexo II na versão então em vigor; a lista atual de Subcontratantes ulteriores; uma cópia preenchida do questionário de segurança padrão do Subcontratante; um resumo dos resultados de seus mais recentes testes de segurança; e respostas escritas a perguntas escritas razoáveis relativas ao tratamento de dados pessoais realizado por conta desse Responsável pelo Tratamento. Isto está disponível uma vez em cada período de 12 meses e, adicionalmente, na sequência de uma violação de dados pessoais que afete dados pessoais tratados por conta desse Responsável pelo Tratamento ou sempre que uma autoridade de controlo o exija.
13.3 Entrevista de auditoria. Caso o Responsável pelo Tratamento demonstre de forma razoável que as informações prestadas ao abrigo da seção 13.2 são insuficientes para demonstrar a conformidade, ou na sequência de uma violação de dados pessoais que afete dados pessoais tratados por conta desse Responsável pelo Tratamento, ou sempre que uma autoridade de controlo o exija, o Subcontratante disponibiliza a pessoa encarregada das operações de tratamento para uma entrevista de auditoria remota por videoconferência com a duração máxima de quatro horas, mediante aviso escrito com pelo menos 30 dias de antecedência e em data acordada entre as partes. O Responsável pelo Tratamento ou o auditor por ele mandatado pode formular perguntas e solicitar a demonstração de controles específicos mediante compartilhamento de tela. Isto está disponível sem qualquer encargo uma vez em cada período de 12 meses.
13.4 Inspeção presencial. Sempre que uma autoridade de controlo ou uma norma imperativa o exija, ou sempre que as seções 13.2 e 13.3 não tenham resolvido uma preocupação de conformidade concreta e documentada, o Responsável pelo Tratamento ou um auditor independente por ele mandatado pode inspecionar as instalações e os sistemas do Subcontratante mediante aviso escrito com 60 dias de antecedência, durante o horário normal de expediente, uma vez em cada período de 12 meses, a expensas do Responsável pelo Tratamento, incluindo o tempo razoável despendido pelo Subcontratante a uma tarifa horária comunicada ao Responsável pelo Tratamento antes da inspeção. O auditor não pode ser concorrente do Subcontratante e deve estar vinculado por um compromisso escrito de confidencialidade. O âmbito limita-se aos sistemas e registros relativos ao tratamento de dados pessoais realizado por conta desse Responsável pelo Tratamento. Não é concedido acesso aos dados pessoais de outro cliente, à infraestrutura compartilhada de modo que comprometa a segurança dos dados de outro cliente, nem ao código-fonte, salvo mediante consulta supervisionada.
13.5 A WinrickLabs LLC não dispõe de relatório SOC 2 nem de certificação ISO/IEC 27001 e não se compromete a obtê-los. Caso obtenha um relatório de auditoria independente de terceiro ou uma certificação durante a vigência, a disponibilização desse relatório satisfaz as seções 13.2 e 13.3 no que respeita às matérias que abrange.
13.6 Nada na presente seção limita ou derroga os direitos do Responsável pelo Tratamento ao abrigo do artigo 28.º, n.º 3, alínea h), do RGPD ou da Cláusula 8.9 das CCT. Sempre que uma autoridade de controlo exija uma auditoria ou inspeção em termos distintos dos acima previstos, o Subcontratante cumpre essa exigência.
14. Transferências internacionais
14.1 Onde são armazenados os Dados Pessoais do Cliente
Região União Europeia. As contas criadas em eu.fastcomments.com são provisionadas na região União Europeia. Os Dados Pessoais do Cliente dessas contas são armazenados e tratados em infraestrutura localizada no Espaço Econômico Europeu, incluindo todas as réplicas ativas e todas as cópias de segurança. Esses dados não são replicados para qualquer região fora do Espaço Econômico Europeu.
Região global. Nas contas criadas em fastcomments.com, os Dados Pessoais do Cliente são replicados por várias regiões, provedores de hospedagem e países, incluindo regiões nos Estados Unidos, a fim de assegurar a disponibilidade e de servir os dados a partir de local próximo dos usuários finais. Cada região mantém uma réplica ativa em outra região e com um provedor de hospedagem distinto.
As regiões, os provedores de hospedagem e os países aplicáveis a cada uma constam do Anexo III.
14.2 Administração remota
A WinrickLabs LLC está estabelecida nos Estados Unidos. Seu pessoal administra, mantém, monitora, dá suporte e assegura a resposta a incidentes em todas as regiões, incluindo a região União Europeia, mediante acesso remoto a partir dos Estados Unidos. As partes reconhecem que esse acesso remoto constitui uma transferência de dados pessoais para um país terceiro na acepção do Capítulo V do RGPD, inclusive no que respeita a dados armazenados exclusivamente no Espaço Econômico Europeu. As CCT incorporadas pela seção 14.3 aplicam-se, por conseguinte, a todos os Dados Pessoais do Cliente tratados ao abrigo do presente Acordo.
14.3 Cláusulas contratuais-tipo
As CCT, Módulo Dois (transferência de responsável pelo tratamento para subcontratante), são incorporadas no presente Acordo por remissão e dele fazem parte integrante. Seu texto está publicado em https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. O Responsável pelo Tratamento é o exportador de dados e a WinrickLabs LLC é a importadora de dados. Sempre que a seção 3.3 for aplicável, aplica-se em substituição o Módulo Três.
As partes fazem as seguintes escolhas ao abrigo das CCT:
| Disposição | Escolha |
|---|---|
| Cláusula 7 (cláusula de adesão) | Incluída. Uma entidade que não seja parte pode aderir na qualidade de exportador de dados mediante o preenchimento do Anexo I e a assinatura do Anexo I.A. |
| Cláusula 9, alínea a) (subcontratantes ulteriores) | Opção 2, autorização geral por escrito. O prazo de pré-aviso é de 30 dias, conforme previsto na seção 8.2. |
| Cláusula 11, alínea a), parágrafo facultativo (organismo independente de resolução de litígios) | Não adotado. O parágrafo facultativo não se aplica. |
| Cláusula 13 e Anexo I.C (autoridade de controlo competente) | Conforme determinado no Anexo I.C. |
| Cláusula 17 (lei aplicável) | Opção 1. As CCT são regidas pela lei da Irlanda. |
| Cláusula 18, alínea b) (escolha do foro) | Os tribunais da Irlanda. A Cláusula 18, alínea c), permanece intocada: o titular dos dados pode intentar uma ação no Estado-Membro de sua residência habitual. |
As Cláusulas 8.9, 12, 14, 15 e 16 das CCT aplicam-se sem modificação. As seções 13 e 15 do presente Acordo descrevem como essas cláusulas são exercidas na prática e não as limitam.
14.4 Reino Unido
Nas transferências sujeitas ao RGPD do Reino Unido, o Adendo do Reino Unido é incorporado por remissão e aplica-se às CCT tal como incorporadas pela seção 14.3. Suas tabelas estão preenchidas no Apêndice 1.
14.5 Suíça
Nas transferências sujeitas à LPD, as CCT aplicam-se com as alterações do Apêndice 2.
14.6 Impacto da transferência
As partes não têm motivos para crer, tendo em conta as circunstâncias da transferência, a legislação e as práticas dos Estados Unidos e as salvaguardas aplicadas, que a legislação e as práticas aplicáveis à WinrickLabs LLC a impeçam de cumprir suas obrigações ao abrigo das CCT.
Circunstâncias da transferência. Os Dados Pessoais do Cliente consistem predominantemente em conteúdo que o Responsável pelo Tratamento publica publicamente em suas próprias propriedades, juntamente com nomes de exibição, endereços de e-mail facultativos e, por padrão, hashes criptográficos com sal dos endereços IP em vez dos próprios endereços IP. Não são solicitadas nem exigidas categorias especiais de dados pessoais. O volume de dados pessoais relativos a cada titular dos dados é mínimo por concepção.
Legislação de vigilância dos Estados Unidos. A WinrickLabs LLC é uma sociedade de responsabilidade limitada de capital fechado. Nunca recebeu qualquer diretiva, ordem, pedido ou outro ato processual emitido ao abrigo da Section 702 do Foreign Intelligence Surveillance Act, da Executive Order 12333, sob a forma de National Security Letter, ou ao abrigo do Clarifying Lawful Overseas Use of Data Act. Não mantém qualquer tipo de relação com serviços de informações dos Estados Unidos e nunca facultou a qualquer governo acesso direto ou indireto a Dados Pessoais do Cliente. Não figura entre os grandes provedores de comunicações e de computação em nuvem aos quais as diretivas ao abrigo da Section 702 têm sido historicamente dirigidas e não opera qualquer instalação à qual tal coleta tenha sido aplicada.
Salvaguardas. Criptografia integral de disco em repouso em todos os servidores, incluindo os destinos das cópias de segurança; TLS 1.2 ou superior para todos os dados em trânsito; residência dos dados na região União Europeia, sem replicação desses dados fora do Espaço Econômico Europeu; armazenamento dos endereços IP como hashes com sal, salvo escolha diversa do Responsável pelo Tratamento; autenticação multifator em todas as contas de produção, de provedores, do registrador de domínio e de controle de versão; acesso aos sistemas em produção restrito a pessoas identificadas nominalmente segundo o princípio do privilégio mínimo; e os compromissos assumidos na seção 15 de contestar pedidos ilícitos, de divulgar apenas o mínimo exigido e de notificar o Responsável pelo Tratamento sempre que legalmente permitido.
Reavaliação. O Subcontratante repete esta avaliação pelo menos anualmente e sempre que tome conhecimento de qualquer alteração da legislação ou das práticas aplicáveis suscetível de a afetar. Caso deixe de poder cumprir as CCT, notifica o Responsável pelo Tratamento nos termos das Cláusulas 14, alínea f), e 16.
14.7 Data Privacy Framework
A WinrickLabs LLC não está certificada ao abrigo do EU-US Data Privacy Framework, de sua UK Extension nem do Swiss-US Data Privacy Framework, e não se baseia numa decisão de adequação como mecanismo de transferência. Baseia-se nas CCT.
15. Pedidos de autoridades públicas e de autoridades policiais
Ao receber um pedido juridicamente vinculativo de uma autoridade pública para divulgação de Dados Pessoais do Cliente, o Subcontratante: notifica prontamente o Responsável pelo Tratamento, salvo se estiver legalmente impedido de o fazer, envidando nesse caso esforços razoáveis para obter a dispensa dessa proibição; contesta o pedido quando este seja ilícito, excessivamente amplo ou conflitue com o direito da União Europeia ou de um Estado-Membro; divulga apenas o mínimo exigido, com base numa apreciação cuidadosa do pedido; e documenta o pedido, disponibilizando essa documentação ao Responsável pelo Tratamento e à autoridade de controlo competente, mediante solicitação.
Em 5 de agosto de 2026, a WinrickLabs LLC não recebeu qualquer pedido dessa natureza.
16. Registros das atividades de tratamento
O Subcontratante mantém um registro de todas as categorias de atividades de tratamento realizadas por conta de responsáveis pelo tratamento, contendo as informações exigidas pelo artigo 30.º, n.º 2, do RGPD, e disponibiliza esse registro a uma autoridade de controlo mediante solicitação.
17. Responsabilidade
17.1 A responsabilidade de cada parte ao abrigo do presente Acordo está sujeita às exclusões e limitações de responsabilidade previstas no Contrato Principal, na medida em que essas exclusões e limitações se apliquem a essa parte. Essas mesmas exclusões e limitações aplicam-se igualmente às pretensões deduzidas ao abrigo do presente Acordo e às deduzidas ao abrigo do Contrato Principal. O presente Acordo não cria qualquer limitação de responsabilidade separada ou adicional.
17.2 A seção 17.1 não limita nem exclui: qualquer responsabilidade que não possa ser limitada ou excluída ao abrigo da lei aplicável; a responsabilidade de qualquer das partes perante um titular dos dados ao abrigo da Cláusula 12 das CCT ou do artigo 82.º do RGPD; nem as obrigações de qualquer das partes perante uma autoridade de controlo.
17.3 As disposições dos Termos de Serviço relativas à arbitragem e à renúncia à ação coletiva não se aplicam a quaisquer pretensões emergentes do presente Acordo ou das CCT.
18. Vigência, cessação e subsistência
O presente Acordo produz efeitos na Data de Entrada em Vigor e mantém-se em vigor enquanto o Subcontratante tratar Dados Pessoais do Cliente, independentemente de qualquer cessação do Contrato Principal. As seções 6, 7, 10, 12, 13, 14, 15 e 17 subsistem à cessação.
19. Lei aplicável e jurisdição
19.1 O presente Acordo, bem como qualquer litígio ou pretensão dele emergente ou com ele relacionado, incluindo litígios ou pretensões de natureza extracontratual, é regido pelas leis da República da Irlanda, sendo competentes os tribunais da Irlanda. A presente seção prevalece sobre as disposições dos Termos de Serviço relativas a lei aplicável, foro, arbitragem e renúncia à ação coletiva no que respeita aos litígios emergentes do presente Acordo.
19.2 A seção 19.1 aplica-se sem prejuízo da Cláusula 18, alínea c), das CCT, ao abrigo da qual o titular dos dados pode intentar uma ação no Estado-Membro de sua residência habitual.
19.3 Nas transferências sujeitas ao RGPD do Reino Unido, as disposições do Adendo do Reino Unido relativas a lei aplicável e foro aplicam-se em substituição da seção 19.1.
20. Alterações ao presente Acordo
20.1 O Subcontratante pode atualizar o presente Acordo sempre que uma alteração da Legislação de Proteção de Dados, uma decisão de uma autoridade de controlo ou de um tribunal, uma alteração das CCT ou do Adendo do Reino Unido, ou uma alteração do Serviço assim o exija.
20.2 O Subcontratante notifica por e-mail o administrador da conta do Responsável pelo Tratamento com pelo menos 30 dias de antecedência em relação à produção de efeitos de uma alteração substancial e publica nesta página o Acordo atualizado. As alterações não substanciais produzem efeitos com sua publicação.
20.3 Caso o Responsável pelo Tratamento se oponha a uma alteração substancial por motivos razoáveis de proteção de dados no prazo de 30 dias a contar do aviso, as partes discutem a questão de boa-fé. Na falta de acordo, o Responsável pelo Tratamento pode rescindir o Serviço afetado sem qualquer encargo de rescisão antecipada ou outra consequência desfavorável, e com reembolso proporcional das quantias pagas antecipadamente referentes à parte não utilizada do período contratado.
21. Disposições gerais
21.1 Avisos. Os avisos dirigidos ao Subcontratante ao abrigo do presente Acordo são enviados para privacy@fastcomments.com. Os avisos dirigidos ao Responsável pelo Tratamento são enviados para o endereço de e-mail do administrador da conta e para qualquer contato de privacidade designado no console de administração. Um aviso enviado por e-mail considera-se recebido no dia útil seguinte ao do envio.
21.2 Forma eletrônica. As partes acordam que o presente Acordo em forma eletrônica satisfaz o artigo 28.º, n.º 9, do RGPD e qualquer exigência de que o contrato revista a forma escrita.
21.3 Salvaguarda das disposições. Caso alguma disposição do presente Acordo seja considerada inválida ou inexequível, as restantes mantêm-se em vigor.
21.4 Ausência de renúncia. A não invocação de um direito ao abrigo do presente Acordo não constitui renúncia a esse direito.
21.5 Cessão. O Subcontratante pode ceder o presente Acordo a um sucessor no contexto de uma fusão, aquisição ou venda da totalidade ou de substancialmente todos os seus ativos, mediante aviso ao Responsável pelo Tratamento.
21.6 Integralidade do acordo. O presente Acordo constitui a totalidade do acordo entre as partes no que respeita ao tratamento de Dados Pessoais do Cliente.
22. Idioma
O presente Acordo foi redigido e celebrado em língua inglesa. As traduções são disponibilizadas por mera conveniência. Em caso de qualquer inconsistência, ambiguidade, conflito ou divergência de interpretação entre a versão inglesa e uma tradução, prevalece a versão inglesa, que é a única versão autêntica e vinculativa para todos os efeitos, incluindo a interpretação, a execução e a resolução de qualquer litígio. As denominações sociais, os endereços, as citações legais e o texto das CCT não são traduzidos. Cada parte confirma que atua no exercício de sua atividade comercial e que teve a oportunidade de obter tradução independente e aconselhamento jurídico independente. A presente seção não afeta as obrigações próprias do Responsável pelo Tratamento, ao abrigo dos artigos 12.º a 14.º do RGPD, de prestar informações aos titulares dos dados em linguagem clara e simples.
23. Ponto de contato e situação regulatória
23.1 O ponto de contato para todas as matérias de proteção de dados, incluindo os pedidos previstos nas seções 8.4, 13.2 e 13.3, é Devon Winrick, privacy@fastcomments.com, WinrickLabs LLC, 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States.
23.2 A WinrickLabs LLC não designou um Encarregado da Proteção de Dados, tendo avaliado que os critérios do artigo 37.º, n.º 1, do RGPD não estão preenchidos.
23.3 A WinrickLabs LLC não detém, nem afirma deter, certificação SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS ou CSA STAR. Qualquer certificação referida no presente Acordo relativamente a um Subcontratante ulterior é detida por esse Subcontratante ulterior no que respeita às suas próprias instalações e serviços e não constitui uma certificação da WinrickLabs LLC.
24. Assinatura
Subcontratante
WinrickLabs LLC, doing business as FastComments
50 Iron Point Circle, Suite 140, PMB 1019
Folsom, CA 95630, United States
Devon Winrick
Chief Executive Officer
Assinado em 5 de agosto de 2026
Responsável pelo Tratamento
A ser preenchido pelo Responsável pelo Tratamento
A ser preenchido pelo Responsável pelo Tratamento
Aceito pelo Responsável pelo Tratamento mediante a aceitação dos Termos de Serviço, ou mediante a contra-assinatura do presente Acordo.
Anexo I
A. Lista das partes
Exportador de dados
| Nome | A ser preenchido pelo Responsável pelo Tratamento |
|---|---|
| Endereço | A ser preenchido pelo Responsável pelo Tratamento |
| Pessoa de contato | A ser preenchido pelo Responsável pelo Tratamento |
| Atividades relevantes para os dados transferidos | Operação de um ou mais sites, aplicativos ou serviços nos quais o Serviço de comentários, chat ao vivo e discussão do FastComments esteja implantado, e administração do conteúdo gerado por usuários submetido por meio dele. |
| Assinatura e data | Efetivada mediante a aceitação dos Termos de Serviço, ou mediante a contra-assinatura do presente Acordo, na Data de Entrada em Vigor. |
| Função | Responsável pelo tratamento. Subcontratante sempre que a seção 3.3 for aplicável. |
Importador de dados
| Nome | WinrickLabs LLC, doing business as FastComments, uma sociedade de responsabilidade limitada constituída sob as leis do Estado da Califórnia, Estados Unidos. |
|---|---|
| Endereço | 50 Iron Point Circle, Suite 140, PMB 1019, Folsom, CA 95630, United States. |
| Pessoa de contato | Devon Winrick, Chief Executive Officer, privacy@fastcomments.com |
| Atividades relevantes para os dados transferidos | Fornecimento, hospedagem, administração, manutenção, suporte e segurança de uma plataforma online multilocatária de comentários, chat ao vivo e discussão, incluindo a administração remota, a partir dos Estados Unidos, da infraestrutura da região União Europeia e das regiões fora da União Europeia. |
| Assinatura e data | Assinado em 5 de agosto de 2026. |
| Função | Subcontratante. |
B. Descrição da transferência
Categorias de titulares dos dados
- Usuários finais e visitantes dos sites e aplicativos do Responsável pelo Tratamento que publicam, editam, reagem a, votam em, se inscrevem em ou são mencionados em comentários ou mensagens de chat.
- Usuários finais que leem conteúdo servido pelo Serviço e cujos metadados de conexão são tratados para fins de segurança e de prevenção de abusos.
- Pessoal do próprio Responsável pelo Tratamento que utiliza as funcionalidades de moderação, de administração ou de API do Serviço.
- Usuários finais provisionados pelo Responsável pelo Tratamento por meio de single sign-on.
Categorias de dados pessoais
- Nome de exibição ou nome de usuário.
- Endereço de e-mail, quando o titular dos dados ou o Responsável pelo Tratamento fornecer um. É suportada a publicação anônima de comentários.
- Avatar ou imagem de perfil, ou um link para os mesmos.
- O conteúdo de comentários, mensagens de chat e respostas, bem como quaisquer mídias ou arquivos carregados pelo titular dos dados.
- Um hash criptográfico com sal do endereço IP. Caso o Responsável pelo Tratamento ative a definição de desanonimização descrita na seção 7.3, o endereço IP é armazenado em sua forma original.
- Votos, reações, denúncias, bloqueios e estado de moderação.
- Carimbos de data e hora, identificadores de página e de tópico e a cadeia de caracteres do agente de usuário.
- Preferências de notificação e de inscrição.
- Identificadores de single sign-on e quaisquer outros atributos que o Responsável pelo Tratamento decida transmitir.
- Quanto aos usuários administrativos do Responsável pelo Tratamento: nome, endereço de e-mail, credenciais de autenticação em forma de hash, dados de sessão e endereços IP associados a ações administrativas, caso o Responsável pelo Tratamento tenha ativado o registro de auditoria.
Dados sensíveis
O Serviço não foi concebido para categorias especiais de dados pessoais e, nos termos da seção 5.4, o Responsável pelo Tratamento não submete conscientemente tais dados e instrui seus usuários finais em conformidade. Caso um usuário final inclua tais dados em conteúdo de texto livre por sua própria iniciativa, aplicam-se as seguintes restrições: criptografia em repouso; acesso limitado ao número mínimo de pessoas autorizadas; ausência de utilização secundária; ausência de definição de perfis; ausência de divulgação que não seja conforme instruído pelo Responsável pelo Tratamento ou exigido por lei; e ausência de utilização para o desenvolvimento ou o treinamento de qualquer modelo.
Frequência da transferência
Contínua, em regime permanente, durante a vigência do Contrato Principal.
Natureza do tratamento
Coleta, registro, organização, estruturação, conservação, recuperação, consulta, transmissão e exibição pública nas propriedades do Responsável pelo Tratamento, moderação e filtragem de conteúdo, pontuação automatizada de spam e de moderação de imagens quando o Responsável pelo Tratamento a ativar, entrega de notificações, cópia de segurança e replicação, limitação, apagamento e destruição.
Finalidade da transferência e do tratamento posterior
Prestação do Serviço ao Responsável pelo Tratamento, entrega de notificações, moderação e prevenção de abusos, segurança, disponibilidade e recuperação de desastres, e suporte técnico, em cada caso exclusivamente mediante instruções documentadas do Responsável pelo Tratamento.
Prazo de conservação
Durante a vigência do Contrato Principal e, posteriormente, nos termos da seção 12. Registros individuais são apagados antes desse prazo mediante instrução do Responsável pelo Tratamento ou de um titular dos dados.
Transferências para subcontratantes ulteriores
Nos termos do Anexo III, que indica, para cada Subcontratante ulterior, o objeto e a natureza de seu tratamento e sua duração, correspondente à vigência do Contrato Principal ou, no caso de um Subcontratante ulterior envolvido apenas por uma funcionalidade opcional, ao período durante o qual o Responsável pelo Tratamento mantiver essa funcionalidade ativa.
C. Autoridade de controlo competente
- Caso o exportador de dados esteja estabelecido num Estado-Membro da União Europeia: a autoridade de controlo desse Estado-Membro.
- Caso o exportador de dados não esteja estabelecido num Estado-Membro da União Europeia, mas seja abrangido pelo âmbito territorial do RGPD nos termos do artigo 3.º, n.º 2, e tenha designado um representante nos termos do artigo 27.º: a autoridade de controlo do Estado-Membro em que esse representante está estabelecido.
- Caso o exportador de dados não esteja estabelecido num Estado-Membro da União Europeia e não tenha designado um representante nos termos do artigo 27.º: a Data Protection Commission of Ireland.
- Nas transferências sujeitas ao RGPD do Reino Unido: o Information Commissioner's Office.
- Nas transferências sujeitas à LPD: o Federal Data Protection and Information Commissioner.
Anexo II - Medidas técnicas e organizativas
As medidas abaixo são as implementadas pela WinrickLabs LLC. As medidas descritas como aplicáveis a um centro de dados ou à plataforma de um Subcontratante ulterior são implementadas por esse Subcontratante ulterior relativamente às suas próprias instalações.
1. Pseudonimização e criptografia dos dados pessoais
- É aplicada criptografia integral de disco em repouso em todos os servidores, incluindo os que armazenam cópias de segurança.
- Todos os dados em trânsito são protegidos por TLS na versão 1.2 ou superior.
- Os endereços IP são armazenados como hashes criptográficos com sal. O endereço IP original só é armazenado caso o Responsável pelo Tratamento ative a definição de desanonimização para sua própria conta. Um hash com sal de um endereço IP continua a ser um dado pessoal e é tratado como tal ao abrigo do presente Acordo.
- As credenciais de autenticação das contas administrativas são armazenadas como hashes com sal e nunca em forma recuperável.
2. Confidencialidade, integridade, disponibilidade e resiliência dos sistemas de tratamento
- O Serviço é implantado em várias regiões e com vários provedores de hospedagem.
- Cada região mantém uma réplica ativa em outra região e com um provedor de hospedagem distinto.
- Os dados de cada locatário são isolados logicamente pelo identificador de locatário em todas as camadas da aplicação e do modelo de dados.
- Os servidores em produção estão protegidos por firewall e as redes de produção estão segregadas de todos os demais ambientes.
3. Restabelecimento da disponibilidade e do acesso após um incidente
- As cópias de segurança são efetuadas em ciclos diários, mensais e anuais. São gravadas em volumes criptografados, transmitidas por TLS e conservadas tanto junto de um provedor de hospedagem distinto daquele que detém os dados ativos como junto de um provedor independente de armazenamento de objetos.
- As cópias de segurança dos dados da região União Europeia são conservadas exclusivamente no Espaço Econômico Europeu.
- O procedimento de restauração está documentado e uma restauração é realizada e verificada pelo menos uma vez por ano.
4. Testes, apreciação e avaliação regulares da eficácia
- São realizados testes de intrusão independentes por terceiros pelo menos uma vez por ano.
- A análise automatizada de dependências e de vulnerabilidades é executada continuamente sobre a base de código em produção.
- Todas as alterações ao código em produção são submetidas a revisão orientada à segurança antes da implantação.
5. Identificação e autorização de usuários
- O acesso aos sistemas em produção que contêm Dados Pessoais do Cliente está restrito a pessoas identificadas nominalmente com necessidade operacional documentada.
- São utilizadas contas nominais individuais em todos os casos. Não são utilizadas credenciais compartilhadas.
- A autenticação multifator é imposta em todos os sistemas em produção, em todas as contas junto de provedores de hospedagem e de serviços, na conta do registrador de domínio e na conta do controle de versão.
- Os direitos de acesso são concedidos segundo o princípio do privilégio mínimo, revistos a cada alteração de pessoal e revogados sem demora quando cessa o vínculo de uma pessoa.
6. Proteção dos dados durante a transmissão
- O TLS na versão 1.2 ou superior é imposto para o widget de comentários e de chat, para a API pública, para o console de administração, para a entrega de webhooks e para a replicação entre regiões.
- O HTTP Strict Transport Security está ativado. Não é disponibilizado qualquer endpoint em texto simples.
7. Proteção dos dados durante a conservação
- Criptografia em repouso conforme descrito na seção 1 do presente Anexo, aplicada igualmente aos sistemas ativos, às réplicas e aos suportes de cópias de segurança.
- As chaves de criptografia de disco são detidas pela WinrickLabs LLC e não estão acessíveis a qualquer provedor de hospedagem.
8. Segurança física
- A WinrickLabs LLC não opera qualquer centro de dados próprio. Todos os sistemas em produção estão alojados em instalações operadas pelos Subcontratantes ulteriores de hospedagem enumerados no Anexo III, os quais asseguram o controle de acesso físico, a energia redundante, a refrigeração e a conectividade de rede dessas instalações.
- As estações de trabalho de administração estão protegidas por criptografia integral de disco, bloqueio automático de tela e autenticação multifator.
9. Registro de eventos
- As ações administrativas e os eventos de autenticação são registrados.
- O registro de eventos, o relato de erros e a gestão de chamados de suporte são operados pela WinrickLabs LLC em sua própria infraestrutura. Nenhum serviço de terceiros de registro de eventos, de rastreamento de erros, de análise ou de suporte recebe Dados Pessoais do Cliente.
- Um registro de auditoria das ações administrativas está disponível ao Responsável pelo Tratamento no console de administração.
10. Configuração e governança dos sistemas
- As correções de segurança são aplicadas segundo uma priorização baseada no risco, sendo as correções críticas aplicadas sem demora.
- Os serviços instalados são reduzidos ao mínimo necessário. Não são utilizadas credenciais predefinidas.
- Os segredos são mantidos fora do controle de versão.
- A WinrickLabs LLC mantém um plano escrito de resposta a incidentes que abrange a detecção, a contenção, a apreciação, a notificação e a revisão posterior ao incidente.
- Está publicado em privacy@fastcomments.com um ponto de contato para comunicações de segurança e de vulnerabilidades.
11. Certificação e garantias
A WinrickLabs LLC não detém, nem afirma deter, certificação SOC 1, SOC 2, ISO/IEC 27001, ISO/IEC 27701, FedRAMP, HITRUST, PCI DSS ou CSA STAR, e não declara que virá a obter qualquer dessas certificações. Qualquer certificação referida no presente Acordo relativamente a um Subcontratante ulterior é detida por esse Subcontratante ulterior no que respeita às suas próprias instalações e serviços. Os dados de cartões de pagamento não são armazenados nem tratados pela WinrickLabs LLC; os dados dos cartões são coletados e tratados diretamente por seu Subcontratante ulterior de pagamentos.
12. Minimização, qualidade e conservação dos dados
- O Serviço exige apenas um nome de exibição. O endereço de e-mail é facultativo e é suportada a publicação anônima de comentários.
- Os endereços IP são pseudonimizados por padrão conforme descrito na seção 1 do presente Anexo.
- Os titulares dos dados e o Responsável pelo Tratamento podem corrigir os dados de perfil e editar ou apagar conteúdo por meio do Serviço.
- O prazo de conservação é configurável pelo Responsável pelo Tratamento. A eliminação na cessação rege-se pela seção 12 do presente Acordo.
13. Portabilidade e apagamento
- O console de administração permite exportar os dados de comentários e de usuários mantidos na conta do Responsável pelo Tratamento.
- O console de administração e a API permitem apagar comentários individuais, usuários finais individuais e a totalidade da conta do Responsável pelo Tratamento.
14. Medidas relativas às transferências para Subcontratantes ulteriores
- Cada Subcontratante ulterior é contratado mediante contrato escrito que lhe impõe obrigações de proteção de dados substancialmente equivalentes às previstas no presente Acordo, salvo indicação em contrário no Anexo III.
- Cada Subcontratante ulterior é avaliado antes da contratação e sua função é registrada no Anexo III e na Página de Subcontratantes Ulteriores.
- Os Subcontratantes ulteriores utilizados para contas da região União Europeia tratam esses dados no Espaço Econômico Europeu.
Anexo III - Lista de Subcontratantes ulteriores
O Responsável pelo Tratamento concede uma autorização geral por escrito para a contratação dos Subcontratantes ulteriores enumerados abaixo. A Página de Subcontratantes Ulteriores constitui a lista atual de referência e é incorporada no presente Acordo por remissão. A coluna "Região" indica se o Subcontratante ulterior trata dados de contas da região União Europeia, de contas da região global, ou de ambas.
| Subcontratante ulterior | Atividade de tratamento | Local do tratamento | Região |
|---|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Germany |
Hospedagem de servidores de aplicação e de banco de dados. A Hetzner Finland Oy, Huurrekuja 10, 04360 Tuusula, Finland, é contratada pela Hetzner Online GmbH para a locação do edifício e o suporte técnico no local situado na Finlândia. | Falkenstein, Germany. Tuusula, Finland. | Ambas |
| OVH SAS 2 rue Kellermann, 59100 Roubaix, France |
Hospedagem de servidores de aplicação e de banco de dados. | Gravelines, France | União Europeia |
| OVH GmbH Oskar-Jäger-Str. 173/K6, 50825 Köln, Germany |
Hospedagem de servidores de aplicação e de banco de dados. | Limburg an der Lahn, Germany | União Europeia |
| OVH US LLC 11950 Democracy Drive, Suite 300, Reston, VA 20190, United States |
Hospedagem de servidores de aplicação e de banco de dados. | Hillsboro, Oregon and Vint Hill, Virginia, United States | Global |
| BrainStorm Network, Inc., trading as OneProvider 3275 Av Francis-Hughes, Laval, QC H7L 5A5, Canada |
Hospedagem de servidores de aplicação e de banco de dados. A OneProvider revende neste local capacidade operada por terceiros. | São Paulo, Brazil | Global |
| Wasabi Technologies LLC 75 Arlington Street, Suite 810, Boston, MA 02116, United States |
Armazenamento de objetos das cópias de segurança periódicas criptografadas. | Frankfurt, Germany para as cópias de segurança da região União Europeia. Oregon, United States para as cópias de segurança da região global. | Ambas |
| Akamai Technologies, Inc. 145 Broadway, Cambridge, MA 02142, United States |
Entrega de eventos de webhook de saída a endpoints indicados pelo Responsável pelo Tratamento. | United States | Ambas |
| Deep Infra, Inc. 2625 Middlefield Road #460, Palo Alto, CA 94306, United States |
Classificação automatizada de spam, moderação de conteúdo de imagens e funcionalidades de agente de moderação e de assistente. Contratada apenas quando o Responsável pelo Tratamento ativa uma ou mais dessas funcionalidades. | United States | Ambas, quando ativado |
| Mailgun Technologies, Inc. 112 E Pecan Street #1135, San Antonio, TX 78205, United States |
Entrega de e-mails de notificação e transacionais a usuários finais e administradores. | United States ou União Europeia, conforme a região selecionada para a entrega | Ambas |
| SIB INC. US, trading as Brevo 2140 South Dupont Highway, Camden, DE 19934, United States, part of the group headed by Sendinblue SAS, 17 rue Salneuve, 75017 Paris, France |
Entrega de e-mails de notificação e transacionais a usuários finais e administradores. | France and Belgium | Ambas |
Situação contratual dos Subcontratantes ulteriores. Cada Subcontratante ulterior acima enumerado é contratado mediante contrato escrito que incorpora as condições de tratamento de dados desse provedor, com as duas exceções seguintes, aqui indicadas para que o Responsável pelo Tratamento as possa avaliar.
Deep Infra, Inc. não publica um acordo de tratamento de dados nem cláusulas contratuais-tipo, e não existe qualquer contrato dessa natureza em vigor em 5 de agosto de 2026. A WinrickLabs LLC diligencia sua celebração. Este Subcontratante ulterior é contratado apenas quando o Responsável pelo Tratamento ativa as funcionalidades de classificação automatizada de spam, de moderação de conteúdo de imagens, de agente de moderação ou de assistente. Essas funcionalidades estão desativadas por padrão. Caso o Responsável pelo Tratamento não as ative, nenhum Dado Pessoal do Cliente é divulgado a este Subcontratante ulterior em momento algum. O Responsável pelo Tratamento que não deseje que seus dados sejam tratados por este Subcontratante ulterior pode manter essas funcionalidades desativadas, ou desativá-las, a qualquer momento e sem encargos. As condições publicadas pelo provedor declaram que os dados submetidos às suas interfaces não são armazenados, vendidos nem utilizados para treinar modelos. Os modelos utilizados pelo Serviço são hospedados por esse provedor em sua própria infraestrutura; nenhum dado é repassado a qualquer outro fornecedor de modelos.
BrainStorm Network, Inc. não publica um acordo de tratamento de dados, e não existe qualquer contrato dessa natureza em vigor em 5 de agosto de 2026. A WinrickLabs LLC diligencia sua celebração. Este Subcontratante ulterior hospeda servidores apenas na região global. Nenhum Dado Pessoal do Cliente pertencente a uma conta da região União Europeia é tratado por este Subcontratante ulterior em momento algum.
Fornecedores que não tratam Dados Pessoais do Cliente. A Stripe, LLC, Corporation Trust Center, 1209 Orange Street, Wilmington, DE 19801, United States, trata os dados de faturamento e de pagamento do próprio Responsável pelo Tratamento. Esses são Dados da Conta na acepção da seção 3.2, relativamente aos quais a WinrickLabs LLC atua como responsável pelo tratamento independente, não sendo, por isso, um Subcontratante ulterior ao abrigo do presente Acordo. Os dados dos cartões de pagamento são coletados e tratados diretamente pela Stripe e não são armazenados pela WinrickLabs LLC.
Serviços operados sem recurso a terceiros. A entrega de conteúdo, o registro de eventos da aplicação, o relato de erros e a gestão de chamados de suporte são operados pela WinrickLabs LLC na infraestrutura acima enumerada. Nenhuma rede de entrega de conteúdo, serviço de registro de eventos, serviço de rastreamento de erros, serviço de análise ou central de suporte de terceiros recebe Dados Pessoais do Cliente.
Apêndice 1 - Adendo do Reino Unido para Transferências Internacionais de Dados
Nas transferências sujeitas ao RGPD do Reino Unido, o Adendo do Reino Unido é incorporado por remissão e suas tabelas são preenchidas conforme se indica a seguir. Sempre que as cláusulas imperativas do Adendo do Reino Unido conflituem com as CCT tal como incorporadas pela seção 14.3, prevalece o Adendo do Reino Unido no que respeita a essas transferências.
| Tabela 1: Partes | Data de início: a Data de Entrada em Vigor. Exportador: o Responsável pelo Tratamento, conforme indicado no Anexo I.A. Importador: WinrickLabs LLC, conforme indicado no Anexo I.A. Contatos principais: conforme indicado no Anexo I.A. |
|---|---|
| Tabela 2: CCT selecionadas, módulos e cláusulas selecionadas | As Approved EU SCCs tal como incorporadas pela seção 14.3, Módulo Dois, com as escolhas indicadas nessa seção: Cláusula 7 incluída; Cláusula 9, Opção 2, com prazo de pré-aviso de 30 dias; parágrafo facultativo da Cláusula 11 não adotado; Cláusula 17, Opção 1, Irlanda; Cláusula 18, alínea b), Irlanda. |
| Tabela 3: Informações dos anexos | Annex 1A Lista das Partes: Anexo I.A do presente Acordo. Annex 1B Descrição da Transferência: Anexo I.B. Annex II Medidas Técnicas e Organizativas: Anexo II. Annex III Lista de Subcontratantes Ulteriores: Anexo III. |
| Tabela 4: Cessação deste Adendo em caso de alteração do Approved Addendum | Nenhuma das Partes. |
Nas CCT, tal como se aplicam às transferências sujeitas ao RGPD do Reino Unido: as remissões para o RGPD entendem-se como remissões para o RGPD do Reino Unido; as remissões para o Regulamento (UE) 2016/679 entendem-se como remissões para esse Regulamento tal como mantido no direito do Reino Unido e para o Data Protection Act 2018; as remissões para uma autoridade de controlo entendem-se como remissões para o Information Commissioner; as remissões para um Estado-Membro entendem-se como remissões para o Reino Unido; e as remissões para o Espaço Econômico Europeu entendem-se como remissões para o Reino Unido.
Apêndice 2 - Alterações suíças
Sempre que uma transferência esteja sujeita à LPD, as CCT aplicam-se com as seguintes alterações.
- A autoridade de controlo competente ao abrigo da Cláusula 13 e do Anexo I.C é o Federal Data Protection and Information Commissioner no que respeita às transferências regidas exclusivamente pela LPD. Sempre que uma transferência seja regida simultaneamente pela LPD e pelo RGPD, o Federal Data Protection and Information Commissioner é competente para os aspectos suíços e a autoridade identificada nos termos do Anexo I.C para os aspectos relativos à União Europeia.
- As remissões para o RGPD entendem-se como remissões para a LPD sempre que a transferência seja por esta regida, e as remissões para o direito da União Europeia ou de um Estado-Membro entendem-se, quando aplicável, como remissões para o direito suíço.
- O termo "Estado-Membro" não é interpretado de modo a excluir os titulares dos dados na Suíça da possibilidade de intentarem uma ação em seu local de residência habitual, nos termos da Cláusula 18, alínea c).
- As CCT protegem igualmente os dados pessoais de pessoas coletivas na medida exigida pelo direito suíço aplicável.
- A Cláusula 17 e a Cláusula 18, alínea b), aplicam-se conforme escolhido na seção 14.3, sem prejuízo do número 3 do presente Apêndice.