Home → Proteção de Dados → Acordo de Compartilhamento de Dados

Acordo de Compartilhamento de Dados

Este Acordo de Compartilhamento de Dados (“DSA”) integra um contrato (ou a respectiva declaração de trabalho aplicável sujeita a tal contrato) celebrado entre a IBOPE (sendo a entidade contratante identificada no contrato ou na respectiva declaração de trabalho e, quando aplicável, suas Afiliadas) (“IBOPE”) e a contraparte identificada no contrato (“Parceiro”), o qual incorpora este DSA por referência ou faz menção à URL na qual este DSA se encontra disponível (o “Contrato”).Este DSA não limita quaisquer outras obrigações de cada Parte, incluindo aquelas previstas no Contrato ou na legislação aplicável. Em caso de conflito entre este DSA e o Contrato, os termos deste DSA prevalecerão no que se refere ao tratamento de Dados Pessoais.

1 Definições E Interpretação

1.1 Neste DSA, os termos iniciados com letra maiúscula terão o significado estabelecido nesta cláusula 1.1, independentemente de tais termos estarem ou não definidos de outra forma no Contrato. Termos em maiúscula utilizados, mas não definidos neste DSA, terão os significados atribuídos a tais termos no Contrato. Quaisquer termos utilizados no DSA e que não estejam definidos no DSA ou no Contrato terão o significado atribuído pela Legislação de Proteção de Dados. Quando um termo for definido tanto neste DSA quanto na Legislação de Proteção de Dados, prevalecerá a definição necessária para garantir a conformidade com a Legislação de Proteção de Dados.

“Lei de Proteção de Dados” significa, conforme aplicável ao Tratamento de Dados Pessoais, qualquer lei ou regulamento nacional, federal, estadual, provincial, da União Europeia ou de outra jurisdição relacionado à privacidade, segurança da informação ou proteção de dados, incluindo o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 sobre a proteção de pessoas naturais no que diz respeito ao Tratamento de Dados Pessoais e à livre circulação desses dados (“GDPR”); o Regulamento Geral de Proteção de Dados do Reino Unido, conforme definido na seção 3(10) do Data Protection Act 2018 (“UK GDPR”); a Lei Federal Suíça de Proteção de Dados (“FADP”); a Lei Brasileira nº 13.709, de 14 de agosto de 2018 (“LGPD”); a California Consumer Privacy Act of 2018, Código Civil da Califórnia § 1798.100 e seguintes, conforme alterada (“CCPA”); e outras leis federais e estaduais de privacidade aplicáveis nos Estados Unidos (conjuntamente com a CCPA, as “Leis de Privacidade dos EUA”), bem como qualquer legislação suplementar, regulamentos, orientações ou códigos de prática emitidos por autoridades de supervisão, conforme alterados, reeditados ou substituídos periodicamente.

“Dados” significa qualquer informação, em qualquer forma, formato ou meio, fornecida ou disponibilizada a uma Parte em conexão com o Contrato, juntamente com todos os derivativos, modelos, análises, adaptações e agregações criados a partir de ou com base em tais informações.

“Solicitação do Titular de Dados” significa uma solicitação apresentada por um titular de dados ou consumidor para exercer direitos previstos na Lei de Proteção de Dados aplicável, incluindo direitos de acesso, retificação, restrição do tratamento, eliminação, portabilidade e oposição ao tratamento.

“Finalidades Permitidas” significa o Tratamento de Dados Pessoais para as finalidades expressamente previstas no Contrato, incluindo:(i) a prestação e o recebimento dos Serviços; e (ii) quaisquer direitos de uso de dados expressamente previstos no Contrato. Para fins das Leis de Privacidade dos EUA, a Finalidade Permitida constitui a finalidade limitada e específica para a qual os Dados Pessoais são divulgados.

“Dados Pessoais” tem o significado atribuído pela Legislação de Proteção de Dados e inclui informações relacionadas a uma pessoa natural identificada ou identificável ou, conforme as Leis de Privacidade dos EUA, informações relacionadas a um consumidor, domicílio ou dispositivo.

“Autoridade Pública” significa qualquer governo nacional, supranacional, federal, estadual, provincial, local ou estrangeiro, ou qualquer de suas subdivisões políticas, bem como qualquer agência, autoridade, instrumentalidade, autoridade regulatória ou de supervisão, órgão de aplicação da lei, tribunal ou instância judicial.

“Transferência Restrita” significa uma transferência de Dados Pessoais realizada por uma Parte atuando como exportadora para um importador localizado em uma jurisdição que não tenha sido reconhecida pela Lei de Proteção de Dados aplicável como fornecendo nível adequado de proteção.

“Incidente de Segurança” significa qualquer destruição, perda, alteração ou divulgação acidental, não autorizada ou ilícita de Dados Pessoais, ou qualquer acesso a eles, quando tais Dados Pessoais forem Tratados por uma Parte em conexão com o Contrato.

“Medidas de Segurança” significa os requisitos de segurança do IBOPE conforme detalhados e disponíveis em Fifty5Blue Security Measures – Fifty5Blue;
“Cláusulas Contratuais Padrão” significa, conforme aplicável:

com relação a dados pessoais aos quais se aplica a Lei de Proteção de Dados da Argentina, o contrato modelo intitulado Contrato modelo de transferencia internacional de datos personales con motivo de prestación de servicios, adotado pela Agência de Proteção de Dados da República Argentina por meio da Disposição 60 – E/2016, e aqui incorporado por referência (“Cláusulas Contratuais Padrão da Argentina”).
com relação a dados pessoais aos quais a LGPD se aplica, as cláusulas contratuais padrão estabelecidas no Anexo II da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, incorporadas a este DSA por referência (“Cláusulas Contratuais Padrão Brasileiras”).
com relação a dados pessoais aos quais o GDPR se aplica, as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros nos termos do GDPR, adotadas pela Comissão Europeia por meio da Decisão (UE) 2021/914, incluindo todos os módulos, incorporadas a este DSA por referência (“Cláusulas Contratuais Padrão da UE”).
com relação a dados pessoais aos quais a FADP se aplica, as Cláusulas Contratuais Padrão da UE, conforme aplicáveis na Suíça, incluindo todos os módulos, incorporadas a este DSA por referência (“Cláusulas Contratuais Padrão Suíças”).
com relação a dados pessoais aos quais se aplica a Lei Turca de Proteção de Dados Pessoais nº 6698, de 24 de março de 2016, os contratos padrão adotados sob o Regulamento sobre Procedimentos e Princípios para a Transferência Internacional de Dados Pessoais, publicado no Diário Oficial em 10 de julho de 2024, nº 32598, incluindo todos os contratos padrão, incorporados a este DSA por referência (“Cláusulas Contratuais Padrão da Turquia”).
com relação a dados pessoais aos quais o UK GDPR se aplica, as Cláusulas Contratuais Padrão da UE, conforme alteradas pelo Adendo do Reino Unido às Cláusulas Contratuais Padrão da Comissão Europeia, emitido pelo Information Commissioner com fundamento na seção 119A(1) do Data Protection Act 2018, incluindo todos os módulos, incorporadas a este DSA por referência (“Cláusulas Contratuais Padrão do Reino Unido”), e
com relação a dados pessoais aos quais se aplica a Lei nº 18.331 de Proteção de Dados Pessoais e a Lei de Habeas Data de 2008, o Modelo de Acordo para a Transferência Internacional de Dados Pessoais de Controladores para Operadores, adotado pela Resolução nº 41/021, incorporado a este DSA por referência (“Cláusulas Contratuais Padrão do Uruguai”).

e, quando exigido pela legislação aplicável, as Partes deverão celebrar integralmente as Cláusulas Contratuais Padrão, em vez de apenas incorporá las por referência.

1.2 Os termos “medidas técnicas e organizacionais apropriadas”, “controlador”, “titular dos dados”, “operador”, “tratamento”, “operador (processor)”, “suboperador” e “autoridade supervisora” devem ser interpretados de acordo com a Legislação de Proteção de Dados; e os termos “empresa” (business), “consumidor”( consumer), “venda”(sale), “vender”(sell), “prestador de serviços” (service provider) e “compartilhar” (share) devem ser interpretados de acordo com as Leis de Privacidade dos EUA.

1.3 Neste DPA, uma referência ao singular inclui o plural, e vice versa. As palavras “inclui” e “incluindo” significam “incluído sem limitação”. Quaisquer exemplos são meramente ilustrativos.

1.4 Exceto quando o contexto exigir o contrário, uma referência neste DSA a uma cláusula, cronograma ou anexo corresponde a uma cláusula, cronograma ou anexo deste DSA.

1.5 Os títulos são fornecidos apenas para conveniência e não afetam o significado ou a interpretação deste DSA ou de seus cronogramas e anexos.

1.6 Em caso de conflito entre este DSA e as Cláusulas Contratuais Padrão, as Cláusulas Contratuais Padrão prevalecerão na medida necessária para garantir a conformidade com as Leis de Proteção de Dados.

2 Obrigações de Proteção de Dados

2.1 Cada Parte declara e garante que cumprirá, a todo tempo, com as suas obrigações nos termos da Legislação de Proteção de Dados aplicável.

2.2 As Partes reconhecem e concordam que, entre si, cada uma atua como controladora independente ou empresa (conforme aplicável nos termos da Legislação de Proteção de Dados). Nada no Contrato ou neste Acordo de Compartilhamento de Dados (DSA) cria uma relação de controladoria conjunta entre as Partes, e nenhuma Parte instrui a outra como operadora, prestadora de serviços ou processadora.

2.3 Uma Parte (o “Provedor dos Dados”) poderá, de tempos em tempos e a seu exclusivo critério, compartilhar com a outra Parte (o “Receptor dos Dados”) Dados Pessoais para as Finalidades Permitidas.

2.4 O Provedor dos Dados deverá

2.4.1 fornecer aos titulares dos dados aos quais os Dados Pessoais se referem informações adequadas sobre como o Provedor dos Dados realizará o tratamento dos Dados Pessoais, conforme exigido pela Legislação de Proteção de Dados, incluindo o fato de que os Dados Pessoais poderão ser compartilhados com o Receptor dos Dados para as Finalidades Permitidas;

2.4.2 assegurar que, caso compartilhe Dados Pessoais com o Receptor dos Dados:

exista uma base legal apropriada, nos termos da Legislação de Proteção de Dados, aplicável a tal compartilhamento;
o Provedor dos Dados adote medidas técnicas e organizacionais adequadas, levando em consideração o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, de modo a garantir um nível de segurança adequado ao risco; e
tal compartilhamento atenda a todos os demais requisitos aplicáveis ao Provedor dos Dados nos termos da Legislação de Proteção de Dados.

2.5 O Destinatário de Dados deverá:

2.5.1 fornecer aos titulares dos dados aos quais os Dados Pessoais se referem informações adequadas sobre como o Destinatário de Dados realizará o Tratamento dos Dados Pessoais, sempre que e conforme exigido pela Legislação de Proteção de Dados;

2.5.2 sujeito à cláusula 2.5.3, tratar os Dados Pessoais exclusivamente para as Finalidades Permitidas e reter os Dados Pessoais apenas pelo período necessário para atingir tais finalidades.

2.5.3 garantir que qualquer Tratamento de Dados Pessoais para qualquer finalidade ou duração além das Finalidades Permitidas (“Finalidades Adicionais”) esteja em conformidade com a Legislação de Proteção de Dados aplicável. Para quaisquer tais Finalidades Adicionais, o Destinatário de Dados deverá:

obter o consentimento prévio e por escrito do Provedor de Dados para as Finalidades Adicionais, exceto quando exigido de outra forma pela legislação aplicável;
assegurar que possui uma base legal apropriada para quaisquer Finalidades Adicionais; e
fornecer aos titulares dos dados aos quais os Dados Pessoais se referem informações adequadas sobre as Finalidades Adicionais.

2.5.4 garantir que o pessoal do Destinatário de Dados com acesso aos Dados Pessoais:

esteja devidamente autorizado a realizar o Tratamento dos Dados Pessoais somente na forma permitida por este DSA e pelo Contrato;
esteja sujeito a um dever vinculante de confidencialidade ou a uma obrigação legal apropriada de confidencialidade;
tenha recebido treinamento adequado sobre o cuidado, proteção e manuseio de Dados Pessoais; e
seja confiável e competente para desempenhar suas funções

2.5.5 sujeito à cláusula 2.5.6, garantir que qualquer terceiro ao qual o Destinatário de Dados disponibilize quaisquer Dados Pessoais, incluindo qualquer processador ou controlador:

cumpra a Legislação de Proteção de Dados aplicável, inclusive oferecendo o mesmo nível de proteção aos Dados Pessoais que os controladores ou empresas (businesses) são obrigados a oferecer nos termos da legislação aplicável; e
esteja vinculado por um acordo escrito que esteja em conformidade com a Legislação de Proteção de Dados aplicável e imponha obrigações de confidencialidade, segurança e proteção de dados não menos protetivas do que aquelas previstas neste DSA.

O Destinatário de Dados reconhece que o Provedor de Dados não atua como Controlador em relação a qualquer Transferência Posterior de Dados Pessoais e que qualquer processador contratado pelo Destinatário de Dados não atua como Operador do Provedor de Dados.

2.5.6 não divulgar nem conceder acesso a quaisquer Dados do Provedor de Dados a qualquer Autoridade Pública sem a autorização prévia e por escrito do Provedor de Dados, exceto quando tal divulgação for exigida pela legislação aplicável, incluindo uma solicitação juridicamente vinculante de uma Autoridade Pública. Para evitar dúvidas, o Destinatário de Dados não deverá responder a qualquer solicitação voluntária, informal ou não vinculante de uma Autoridade Pública sem a autorização prévia e por escrito do Provedor de Dados.Nos casos de uma solicitação juridicamente vinculante, o Destinatário de Dados deverá:

notificar imediatamente o Provedor de Dados ao receber tal solicitação e antes de qualquer divulgação, salvo se proibido por lei, fornecendo todas as informações razoavelmente necessárias para permitir a avaliação da solicitação;
limitar a divulgação ao mínimo de Dados do Provedor de Dados exigido pela lei aplicável; e
envidar os melhores esforços para contestar, resistir ou restringir o escopo de tal divulgação na máxima medida permitida pela lei.

2.5.7 não vender nem compartilhar quaisquer Dados Pessoais recebidos do Provedor de Dados, nem utilizá-los para publicidade comportamental entre contextos (cross context behavioural advertising), exceto quando expressamente permitido no Contrato e em conformidade com a legislação aplicável

2.6 Caso uma Parte tome ciência de qualquer inexatidão nos Dados Pessoais que trate, deverá, tão logo seja razoavelmente possível, corrigir tal inexatidão e informar a outra arte em conformidade.

2.7 Exceto conforme expressamente previsto no Contrato ou quando exigido pela Legislação de Proteção de Dados aplicável, nenhuma das Partes deverá:

2.7.1 tentar reidentificar quaisquer Dados anonimizados, pseudonimizados ou desidentificados da outra Parte que lhe tenham sido divulgados ou disponibilizados em conexão com o Contrato;

2.7.2 agregar, pseudonimizar, anonimizar ou desidentificar os Dados da outra Parte; ou

2.7.3 tratar os Dados da outra Parte, incluindo Dados Pessoais anonimizados ou pseudonimizados, em conexão com, ou para fins de desenvolvimento, treinamento, teste, aprimoramento, suporte ou qualquer outra forma de uso de modelos de linguagem de grande porte (large language models), modelos de aprendizado de máquina, modelos de base (foundation models), sistemas de inteligência artificial generativa ou qualquer outro sistema de inteligência artificial ou de tomada de decisão automatizada, ou tecnologia similar. Esta proibição inclui a síntese de dados sintéticos, a combinação com quaisquer outros dados ou conteúdos, e a geração de saídas (outputs) ou modelos com base em tais dados.

2.8 Exceto conforme expressamente previsto no Contrato, cada Parte reconhece que, entre elas, o IBOPE detém todos os direitos, títulos e interesses sobre os Dados do IBOPE, e o Parceiro detém todos os direitos, títulos e interesses sobre os Dados do Parceiro. Nada nesta cláusula afetará os direitos de qualquer Parte sobre qualquer propriedade intelectual, ferramentas, modelos ou metodologias preexistentes, desde que tais direitos não incluam os Dados ou os Dados Pessoais da outra Parte.

3 Segurança

3.1 Cada Parte deverá implementar e manter medidas técnicas e organizacionais apropriadas para assegurar um nível de segurança adequado ao risco, incluindo medidas destinadas a proteger a confidencialidade, integridade, disponibilidade e resiliência dos Dados Pessoais contra um Incidente de Segurança. Cada Parte deverá revisar e atualizar tais medidas regularmente e, em qualquer caso, sempre que necessário para manter um nível adequado de segurança, levando em consideração os riscos apresentados pelo Tratamento.

3.2 Incidentes de Segurança

3.2.1 Cada Parte deverá manter medidas técnicas e organizacionais apropriadas, destinadas a detectar, responder e, de outro modo, lidar com Incidentes de Segurança, incluindo procedimentos para:

(a) identificar e responder imediatamente a Incidentes de Segurança razoavelmente suspeitos ou conhecidos, incluindo mitigar quaisquer efeitos prejudiciais;
(b) documentar os Incidentes de Segurança e seus respectivos desfechos; e
(c) restaurar, de forma tempestiva, a disponibilidade e o acesso aos Dados Pessoais.

3.2.2 Se uma Parte sofrer um Incidente de Segurança, ela deverá:

realizar todas as notificações à(s) autoridade(s) de controle competente(s) e a quaisquer Titulares de Dados afetados, conforme exigido pela legislação de Proteção de Dados aplicável;
informar a outra Parte, sem demora injustificada, fornecendo detalhes razoáveis sobre o Incidente de Segurança; e
não divulgar ou publicar quaisquer comunicações, avisos, comunicados de imprensa, relatórios ou outras declarações públicas que identifiquem a outra Parte em conexão com o Incidente de Segurança sem a autorização prévia, por escrito, da outra Parte, salvo quando exigido pela legislação aplicável.

4 Restricted Transfers

4.1 Quando a transferência de Dados Pessoais entre as Partes constituir uma Transferência Restrita, as Partes deverão assegurar que tal transferência seja realizada mediante salvaguardas apropriadas, em conformidade com a legislação de Proteção de Dados aplicável. Tais salvaguardas incluirão, conforme aplicável, a celebração das Cláusulas Contratuais Padrão (Standard Contractual Clauses – SCCs) ou a implementação de um mecanismo alternativo de transferência reconhecido pela legislação de Proteção de Dados.

4.2 Quando as Partes dependerem das Cláusulas Contratuais Padrão (Standard Contractual Clauses – SCCs) como mecanismo de transferência::

4.2.1 Para os fins das Cláusulas Contratuais Padrão da Argentina, as informações relativas ao Tratamento de Dados Pessoais para o Anexo A são as definidas no Contrato, e o Destinatário dos Dados concorda que suas obrigações sob as Cláusulas Contratuais Padrão da Argentina serão regidas pelas leis da Argentina;

4.2.2 Para os fins das Cláusulas Contratuais Padrão do Brasil: (a) cada Parte é um Controlador; (b) para a cláusula 2 (Objeto), a finalidade da transferência, as categorias de Dados Pessoais, o período de retenção e outras informações são as estabelecidas no Contrato; (c) para a cláusula 3 (Transferências Posteriores), aplica-se a Opção A; (d) para a cláusula 4 (Responsabilidades das Partes), aplica-se a Opção A, e o Provedor dos Dados será responsável por: fornecer aviso de privacidade aos Titulares dos Dados;responder às Solicitações dos Titulares de Dados; e notificar Incidentes de Segurança;(e) para a Seção III, aplicam-se as Medidas de Segurança;

4.2.3 Para os fins das Cláusulas Contratuais Padrão da União Europeia (EU Standard Contractual Clauses – SCCs): (a) aplica-se o Módulo 1; (b) o Provedor dos Dados é o Exportador dos Dados e o Destinatário dos Dados é o Importador dos Dados; (c) a cláusula 7 (Cláusula de Adesão – Docking Clause) é incorporada; (d) a disposição opcional da cláusula 11 (Reparação / Mecanismos de Reclamação – Redress) não é incorporada e não se aplica; (e) para a cláusula 13 (Supervisão) e o Anexo I.C (Autoridade de Controle Competente), a autoridade de controle será aquela competente, nos termos do GDPR, para o Provedor dos Dados; (f) para a cláusula 17 (Lei aplicável), a lei aplicável será a lei do Acordo, ou, caso esta não seja a legislação de um Estado Membro da UE que reconheça direitos de terceiros beneficiários, será a legislação dos Países Baixos; (g) para a cláusula 18 (Escolha de foro e jurisdição), os tribunais dos Países Baixos terão jurisdição; (h) o conteúdo do Anexo I.B (Descrição da Transferência) será o estabelecido no Contrato; e (i) o conteúdo do Anexo II (Medidas Técnicas e Organizacionais) será o definido em Medidas de Segurança;

4.2.4 Para os fins das Cláusulas Contratuais Padrão da Suíça (Swiss Standard Contractual Clauses), aplicam se as Cláusulas Contratuais Padrão da UE, conforme estabelecido na cláusula 4.2.3 deste DSA, exceto que: (a) referências, nas Cláusulas Contratuais Padrão da UE, aos termos “General Data Protection Regulation” ou “Regulation (EU) 2016/679” devem ser interpretadas como incluindo também a Lei Federal Suíça de Proteção de Dados (FADP); (b) referências, nas Cláusulas Contratuais Padrão da UE, ao Regulamento (UE) 2018/1725 devem ser removidas; (c) referências, nas Cláusulas Contratuais Padrão da UE, a “União”, “UE” e “Estado Membro da UE” não devem ser interpretadas de modo a excluir que Titulares de Dados na Suíça possam exercer seus direitos em seu local de residência habitual (Suíça), em conformidade com a Cláusula 18(c) das Cláusulas Contratuais Padrão da UE; (d) a Cláusula 13(a) e o Anexo I.C não são utilizados, e a “autoridade de controle competente” será o Comissário Federal Suíço de Proteção de Dados e Informação (FDPIC); nada relacionado à designação da autoridade de controle pelas Partes deve ser interpretado como impedindo os Titulares de Dados na Suíça de recorrer ao FDPIC; (e) as cláusulas serão regidas pelas leis da Suíça; e (f) as Partes concordam que qualquer disputa decorrente das Cláusulas Contratuais Padrão da Suíça deverá ser resolvida pelos tribunais da Suíça, e a escolha de foro constante do Acordo não poderá ser interpretada como impedindo que Titulares de Dados com residência habitual na Suíça busquem exercer seus direitos na Suíça;

4.2.5 Para os fins das Cláusulas Contratuais Padrão da Turquia (Turkish Standard Contractual Clauses): (a) aplica-se o contrato padrão 1; (b) para a cláusula 9 (Reparação / Redress), a disposição opcional não se aplica; (c) para a cláusula 15 (Notificação), o Provedor dos Dados deverá notificar a autoridade de controle; (d) as informações exigidas pelo Anexo I (Descrição das Transferências) serão as estabelecidas no Contrato, ressalvado que: (i) a base legal para a transferência é o interesse legítimo do Provedor dos Dados; e (ii) as informações de registro no VERBİS referentes ao Provedor dos Dados serão aquelas constantes do respectivo registro no VERBİS, seja do Provedor dos Dados ou de sua Afiliada Turca, conforme aplicável; (e) as informações exigidas pelo Anexo II (Medidas Técnicas e Organizacionais) são as previstas nas Medidas de Segurança;

4.2.6 Para os fins das Cláusulas Contratuais Padrão do Reino Unido (UK Standard Contractual Clauses): (a) as informações exigidas pela Tabela 1 serão aquelas estabelecidas no Contrato; (b) as informações exigidas pela Tabela 2 serão as previstas na cláusula 4.2.3 deste DSA, ressalvado que: (i) as Cláusulas Contratuais Padrão do Reino Unido serão regidas pelas leis da Inglaterra e País de Gales; (ii) as Partes concordam que qualquer disputa decorrente das Cláusulas Contratuais Padrão do Reino Unido deverá ser resolvida pelos tribunais da Inglaterra e País de Gales; (iii) o UK GDPR aplica-se ao Tratamento de Dados Pessoais realizado pelo Destinatário dos Dados na qualidade de Importador dos Dados; e (iv) as Partes revisarão este DSA regularmente para assegurar que permaneça correto e atualizado, e continue a oferecer salvaguardas apropriadas aos Dados Pessoais; (c) as informações exigidas pela Tabela 3 serão aquelas estabelecidas no Contrato; e (d) para a Tabela 4, as Partes poderão encerrar as Cláusulas Contratuais Padrão do Reino Unido de acordo com as disposições do Acordo e da cláusula 6.1 deste DSA; e

4.2.7 Para os fins das Cláusulas Contratuais Padrão do Uruguai: (a) para a cláusula 8 (Reparação / Redress), a disposição opcional não se aplica; (b) as informações exigidas pelo Anexo B serão aquelas estabelecidas no Contrato; (c) as informações exigidas pelo Anexo C correspondem às Medidas de Segurança.

4.3 Se qualquer mecanismo de transferência utilizado com base neste DSA for invalidado ou deixar de constituir salvaguarda válida, as Partes deverão discutir prontamente, de boa-fé, e cooperar para implementar um mecanismo de transferência alternativo que assegure a continuidade do cumprimento da Legislação de Proteção de Dados.

4.4 O Destinatário dos Dados declara e garante que não tem motivos para acreditar que as leis e práticas a ele aplicáveis, incluindo quaisquer exigências de divulgar Dados Pessoais a Autoridades Públicas, impeçam o cumprimento de suas obrigações sob este DSA ou sob as Cláusulas Contratuais Padrão aplicáveis. Em particular, o Destinatário dos Dados deverá notificar imediatamente o Provedor dos Dados, em conformidade com a cláusula 2.5.6, caso:

4.4.1 O Destinatário dos Dados recebe uma solicitação de uma Autoridade Pública, toma conhecimento de qualquer acesso direto por uma Autoridade Pública aos Dados Pessoais, ou toma conhecimento de qualquer circunstância que possa afetar sua capacidade de cumprir as Cláusulas Contratuais Padrão; ou

4.4.2 O Destinatário dos Dados determina que não consegue cumprir as Cláusulas Contratuais Padrão ou fornecer um nível de proteção essencialmente equivalente para Dados Pessoais sujeitos a uma Transferência Restrita. Nesse caso, o Provedor dos Dados poderá, a seu exclusivo critério: (a) suspender a Transferência Restrita; (b) exigir que o Destinatário dos Dados cesse o Tratamento dos Dados Pessoais; e/ou (c) rescindir o Acordo ou o Tratamento afetado, sem custo ou responsabilidade.

4.5 As Partes deverão cooperar prontamente e de boa fé para lidar com novas Leis de Proteção de Dados que afetem Transferências Restritas e que entrem em vigor durante a vigência do Acordo, incluindo a celebração de acordos adicionais ou o cumprimento de formalidades exigidas por tais leis.

5 Exclusão

5.1 O Destinatário dos Dados deverá reter os Dados Pessoais recebidos do Provedor dos Dados apenas pelo tempo necessário para: (a) os Propósitos Permitidos;(b) conforme exigido pela legislação aplicável; ou (c) para o estabelecimento, exercício ou defesa de reivindicações legais (“Período de Retenção”). Ao final do Período de Retenção, o Destinatário dos Dados deverá assegurar a destruição segura dos Dados Pessoais, excluídas quaisquer cópias arquivadas geradas automaticamente, tais como aquelas criadas por rotinas de backup ou por sistemas de recuperação de desastres, desde que tais cópias:sejam mantidas de acordo com as obrigações de confidencialidade deste Acordo; não sejam acessadas ou utilizadas para qualquer finalidade que não seja backup ou recuperação; e sejam eliminadas em conformidade com as políticas padrão de retenção de dados do Destinatário dos Dados ou na próxima eliminação programada desses sistemas de arquivamento, o que ocorrer primeiro. A destruição segura inclui a exclusão permanente ou a anonimização irreversível dos Dados Pessoais.

6 Disposições Gerais

6.1 Sobrevivência. As obrigações de cada Parte sob este DSA permanecerão vigentes após a expiração ou rescisão do Acordo e continuarão enquanto a Parte Processar, reter ou, de qualquer outra forma, tiver acesso aos Dados Pessoais da outra Parte.

6.2 Atualizações. O IBOPE poderá atualizar este DSA periodicamente, conforme razoavelmente necessário para refletir mudanças na Legislação de Proteção de Dados, decisões judiciais ou orientações de Autoridades de Controle. Tais atualizações entrarão em vigor 30 dias após a notificação ao Parceiro, e o Parceiro concorda em vincular se à versão atualizada do DSA após sua entrada em vigor.