Acordo de Processamento de Dados

Este Acordo de Tratamento de Dados (“DPA”) integra um contrato (ou a ordem de serviço aplicável sujeita a tal contrato) celebrado entre o IBOPE (sendo a entidade contratante identificada no contrato ou na ordem de serviço aplicável e, quando pertinente, suas Afiliadas) (“IBOPE”) e a contraparte identificada no contrato (“Fornecedor”), o qual incorpora este DPA por referência ou menciona o URL em que este DPA está localizado (o “Contrato”). Este DPA não limita quaisquer outras obrigações do Fornecedor, incluindo aquelas previstas no Contrato ou na legislação aplicável. Em caso de conflito entre este DPA e o Contrato, os termos deste DPA prevalecerão exclusivamente no que diz respeito ao tratamento de Dados Pessoais.

1 Definições e Interpretação

1.1 Neste DPA, os termos iniciados com letra maiúscula terão o significado estabelecido nesta cláusula 1.1, independentemente de tais termos estarem ou não definidos no Contrato. Os termos definidos com letra maiúscula utilizados, mas não definidos neste DPA, terão os significados atribuídos a esses termos no Contrato. Qualquer termo utilizado neste DPA que não esteja definido neste DPA ou no Contrato terá o significado atribuído pela Lei de Proteção de Dados. Quando um termo for definido tanto neste DPA quanto na Lei de Proteção de Dados, prevalecerá a definição necessária para assegurar a conformidade com a Lei de Proteção de Dados.

“Finalidade Comercial” tem o significado estabelecido na Seção 1798.140(e) do Código Civil da Califórnia (CA Civ Code) ou conceito equivalente nos termos das Leis de Privacidade dos EUA aplicáveis.

“Lei de Proteção de Dados” significa, conforme aplicável ao Tratamento de Dados Pessoais, qualquer lei ou regulamento nacional, federal, estadual, provincial, da União Europeia ou de outra jurisdição relacionado à privacidade, segurança da informação ou proteção de dados, incluindo o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 sobre a proteção de pessoas naturais no que diz respeito ao Tratamento de Dados Pessoais e à livre circulação desses dados (“GDPR”); o Regulamento Geral de Proteção de Dados do Reino Unido, conforme definido na seção 3(10) do Data Protection Act 2018 (“UK GDPR”); a Lei Federal Suíça de Proteção de Dados (“FADP”); a Lei Brasileira nº 13.709, de 14 de agosto de 2018 (“LGPD”); a California Consumer Privacy Act of 2018, Código Civil da Califórnia § 1798.100 e seguintes, conforme alterada (“CCPA”); e outras leis federais e estaduais de privacidade aplicáveis nos Estados Unidos (conjuntamente com a CCPA, as “Leis de Privacidade dos EUA”), bem como qualquer legislação suplementar, regulamentos, orientações ou códigos de prática emitidos por autoridades de supervisão, conforme alterados, reeditados ou substituídos periodicamente.

“Solicitação do Titular de Dados” significa uma solicitação apresentada por um titular de dados ou consumidor para exercer direitos previstos na Lei de Proteção de Dados aplicável, incluindo direitos de acesso, retificação, restrição do tratamento, eliminação, portabilidade e oposição ao tratamento.

“Dados do IBOPE” significa qualquer informação, em qualquer forma, formato ou meio, fornecida ou disponibilizada ao Fornecedor em conexão com o Contrato, juntamente com todos os derivados, modelos, análises, adaptações e agregações criados a partir de tais informações ou com base nelas.

“Dados Pessoais do IBOPE” significa Dados do IBOPE que constituem Dados Pessoais.

“Dados Pessoais” tem o significado atribuído pela Lei de Proteção de Dados aplicável e inclui informações relativas a uma pessoa natural identificada ou identificável ou, nos termos das Leis de Privacidade dos EUA, informações relativas a um consumidor, domicílio ou dispositivo.

“Autoridade Pública” significa qualquer governo nacional, supranacional, federal, estadual, provincial, local ou estrangeiro, ou qualquer de suas subdivisões políticas, bem como qualquer agência, autoridade, instrumentalidade, autoridade regulatória ou de supervisão, órgão de aplicação da lei, tribunal ou instância judicial.

“Transferência Restrita” significa uma transferência de Dados Pessoais realizada por uma Parte atuando como exportadora para um importador localizado em uma jurisdição que não tenha sido reconhecida pela Lei de Proteção de Dados aplicável como fornecendo nível adequado de proteção.

“Incidente de Segurança” significa qualquer destruição, perda, alteração ou divulgação acidental, não autorizada ou ilícita de, ou acesso a, Dados Pessoais do IBOPE tratados pelo Fornecedor em conexão com os Serviços, incluindo uma violação das Medidas de Segurança.

“Medidas de Segurança” significa os requisitos de segurança do IBOPE conforme detalhados e disponíveis em Fifty5Blue Security Measures – Fifty5Blue, conforme alterados e notificados ao Fornecedor periodicamente.

“Cláusulas Contratuais Padrão” significa, conforme aplicável:

1. com relação a dados pessoais aos quais se aplica a Lei de Proteção de Dados da Argentina, o contrato modelo intitulado Contrato modelo de transferencia internacional de datos personales con motivo de prestación de servicios, adotado pela Agência de Proteção de Dados da República Argentina por meio da Disposição 60 – E/2016, e aqui incorporado por referência (“Cláusulas Contratuais Padrão da Argentina”).
2. com relação a dados pessoais aos quais a LGPD se aplica, as cláusulas contratuais padrão estabelecidas no Anexo II da Resolução CD/ANPD nº 19, de 23 de agosto de 2024, incorporadas a este DPA por referência (“Cláusulas Contratuais Padrão Brasileiras”).
3. com relação a dados pessoais aos quais o GDPR se aplica, as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros nos termos do GDPR, adotadas pela Comissão Europeia por meio da Decisão (UE) 2021/914, incluindo todos os módulos, incorporadas a este DPA por referência (“Cláusulas Contratuais Padrão da UE”).
4. com relação a dados pessoais aos quais a FADP se aplica, as Cláusulas Contratuais Padrão da UE, conforme aplicáveis na Suíça, incluindo todos os módulos, incorporadas a este DPA por referência (“Cláusulas Contratuais Padrão Suíças”).
5. com relação a dados pessoais aos quais se aplica a Lei Turca de Proteção de Dados Pessoais nº 6698, de 24 de março de 2016, os contratos padrão adotados sob o Regulamento sobre Procedimentos e Princípios para a Transferência Internacional de Dados Pessoais, publicado no Diário Oficial em 10 de julho de 2024, nº 32598, incluindo todos os contratos padrão, incorporados a este DPA por referência (“Cláusulas Contratuais Padrão da Turquia”).
6. com relação a dados pessoais aos quais o UK GDPR se aplica, as Cláusulas Contratuais Padrão da UE, conforme alteradas pelo Adendo do Reino Unido às Cláusulas Contratuais Padrão da Comissão Europeia, emitido pelo Information Commissioner com fundamento na seção 119A(1) do Data Protection Act 2018, incluindo todos os módulos, incorporadas a este DPA por referência (“Cláusulas Contratuais Padrão do Reino Unido”), e
7. com relação a dados pessoais aos quais se aplica a Lei nº 18.331 de Proteção de Dados Pessoais e a Lei de Habeas Data de 2008, o Modelo de Acordo para a Transferência Internacional de Dados Pessoais de Controladores para Operadores, adotado pela Resolução nº 41/021, incorporado a este DPA por referência (“Cláusulas Contratuais Padrão do Uruguai”).

e, quando exigido pela legislação aplicável, as Partes deverão celebrar integralmente as Cláusulas Contratuais Padrão, em vez de apenas incorporá las por referência.

1.2 Os termos “medidas técnicas e organizacionais apropriadas”, “controlador”, “titular dos dados”, “operador”, “tratamento”, “operador (processor)”, “suboperador” e “autoridade supervisora” devem ser interpretados de acordo com a Legislação de Proteção de Dados; e os termos “empresa” (business), “consumidor”( consumer), “venda”(sale), “vender”(sell), “prestador de serviços” (service provider) e “compartilhar” (share) devem ser interpretados de acordo com as Leis de Privacidade dos EUA.

1.3 Neste DPA, uma referência ao singular inclui o plural, e vice versa. As palavras “inclui” e “incluindo” significam “incluído sem limitação”. Quaisquer exemplos são meramente ilustrativos.

1.4 Exceto quando o contexto exigir o contrário, uma referência neste DPA a uma cláusula, cronograma ou anexo corresponde a uma cláusula, cronograma ou anexo deste DPA.

1.5 Os títulos são fornecidos apenas para conveniência e não afetam o significado ou a interpretação deste DPA ou de seus cronogramas e anexos.

1.6 Em caso de conflito entre este DPA e as Cláusulas Contratuais Padrão, as Cláusulas Contratuais Padrão prevalecerão na medida necessária para garantir a conformidade com as Leis de Proteção de Dados.

2 Funções das Partes

2.1 As Partes concordam que este DPA se aplicará a quaisquer Dados Pessoais que o Fornecedor trate no curso da prestação dos Serviços.

2.2 As Partes concordam que o IBOPE é o Controlador ou empresa (conforme aplicável sob a Lei de Proteção de Dados), e que o Fornecedor é o Processador, Operador ou Prestador de Serviços (conforme aplicável sob a Lei de Proteção de Dados). O Fornecedor declara e garante que compreende as obrigações que lhe são impostas por este DPA e que as cumprirá. O Fornecedor deverá notificar imediatamente a IBOPE caso entenda que é legalmente obrigado a determinar as finalidades ou os meios essenciais do tratamento.

2.3 O objeto do Tratamento é a execução dos Serviços. As obrigações e os direitos do IBOPE estão previstos neste DPA. O Acordo estabelece a natureza, a duração e a finalidade do Tratamento, o Business Purpose (quando aplicável sob as Leis de Privacidade dos EUA), os tipos de Dados Pessoais tratados pelo Fornecedor e as categorias de titulares cujos Dados Pessoais são tratados.

2.4 Exceto conforme expressamente previsto no Acordo, o Fornecedor reconhece que, entre o Fornecedor e o IBOPE, o IBOPE detém todos os direitos, títulos e interesses sobre os Dados do IBOPE. Nada nesta cláusula afeta os direitos do Fornecedor sobre qualquer propriedade intelectual, ferramentas, modelos ou metodologias preexistentes, desde que tais direitos não incluam quaisquer Dados do IBOPE ou Dados Pessoais do IBOPE.

3 Obrigações do Fornecedor

3.1 Quando o Fornecedor, ou qualquer suboperador por ele engajado, realizar o Tratamento de Dados Pessoais do IBOPE sob o Acordo, o Fornecedor declara e garante, por si e por cada suboperador, que deverá:

3.1.1 cumprir, a todo momento, a Lei de Proteção de Dados aplicável e notificar imediatamente o IBOPE caso, na opinião do Fornecedor, uma instrução dada pelo IBOPE para o Tratamento de Dados Pessoais viole a Lei de Proteção de Dados aplicável;

3.1.2 realizar o Tratamento de Dados Pessoais somente de acordo com as instruções documentadas do IBOPE, que podem consistir em instruções específicas, instruções de natureza geral conforme estabelecido no Acordo, ou outras instruções acordadas entre as Partes periodicamente. O Fornecedor não deverá:

1. tratar Dados Pessoais do IBOPE para qualquer finalidade que não seja a prestação dos Serviços, ou o Propósito Comercial especificado pelo IBOPE, salvo se o Fornecedor for obrigado a fazê-lo pela legislação aplicável; nesse caso, o Fornecedor deverá informar o IBOPE previamente, exceto quando tal comunicação for proibida por lei por motivos relevantes de interesse público;
2. vender, compartilhar ou, de qualquer outra forma, usar Dados Pessoais do IBOPE para publicidade comportamental baseada em conteúdo cruzado, publicidade direcionada, perfilamento para fins de marketing e publicidade, ou para qualquer finalidade comercial que esteja fora da relação comercial direta com o IBOPE.

3.1.3 atuar apenas como processador, prestador de serviços ou operador, ou em função equivalente conforme definida pela Lei de Proteção de Dados, e não como controlador, empresa ou função equivalente;

3.1.4 garantir que o pessoal (incluindo o de qualquer suboperador) com acesso aos Dados Pessoais do IBOPE:

1. estejam devidamente autorizados a tratar Dados Pessoais do IBOPE somente conforme permitido por este DPA e pelo Acordo;
2. estejam sujeitos a um dever vinculante de confidencialidade ou a uma obrigação legal adequada de confidencialidade;
3. tenham passado por treinamento adequado sobre o cuidado, a proteção e o tratamento de Dados Pessoais;
4. sejam confiáveis e competentes para desempenhar suas funções.

3.1.5 notificar IBOPE, sem demora injustificada (e, em qualquer caso, em até 48 horas), sobre qualquer Solicitação de Titular relacionada aos Dados Pessoais do IBOPE. O Fornecedor não deverá responder a tal solicitação, exceto para confirmar o recebimento e direcionar o titular ao IBOPE, salvo quando expressamente autorizado por escrito pelo IBOPE.

3.1.6 não divulgar nem conceder acesso a quaisquer Dados do IBOPE a terceiros, incluindo qualquer Autoridade Pública, sem a autorização prévia e por escrito do IBOPE, exceto quando tal divulgação for:

1. a um suboperador, quando necessário para a execução dos Serviços nos termos do Acordo e em conformidade com a cláusula 5; ou
2. exigida pela legislação aplicável, incluindo uma solicitação legalmente vinculante de uma Autoridade Pública. Para fins de clareza, o Fornecedor não deverá responder a qualquer solicitação voluntária, informal ou não vinculante de uma Autoridade Pública sem a autorização prévia e por escrito do IBOPE.No caso de uma solicitação legalmente vinculante, o Fornecedor deverá: (i) notificar imediatamente o IBOPE ao receber a solicitação e antes da divulgação, salvo se proibido por lei, fornecendo todas as informações razoavelmente necessárias para que o IBOPE avalie a solicitação; (ii) limitar a divulgação ao mínimo de Dados Pessoais exigido pela lei; e (iii) envidar melhores esforços para contestar, resistir ou restringir o escopo da divulgação, na máxima medida permitida pela legislação aplicável.

3.1.7 fornecer cooperação e assistência completas e imediatas ao IBOPE, levando em consideração a natureza do Tratamento e as informações disponíveis ao Fornecedor, e sem custo adicional, por meio de:

1. adotar medidas técnicas e organizacionais adequadas, conforme aplicável, para auxiliar o IBOPE a responder a Solicitações de Titulares;
2. auxiliar o IBOPE no cumprimento de suas obrigações de notificação decorrentes de um Incidente de Segurança, tanto perante a autoridade supervisora competente quanto perante os titulares dos dados; e
3. auxiliar o IBOPE com: (i) qualquer avaliação de impacto de proteção de dados realizada pelo IBOPE; e (ii) quaisquer consultas prévias realizadas com uma autoridade supervisora;

3.1.8 manter registros das atividades de Tratamento realizadas em nome do IBOPE nos termos do Acordo, incluindo:

1. as categorias de Tratamento realizadas;
2. quaisquer transferências internacionais de Dados Pessoais do IBOPE, incluindo uma lista de todos os países para os quais os Dados Pessoais do IBOPE tenham sido transferidos, bem como os mecanismos de transferência e demais salvaguardas utilizados; e
3. uma descrição geral das medidas técnicas e organizacionais apropriadas implementadas para proteger os Dados Pessoais do IBOPE.

3.2 Exceto quando expressamente autorizado pelo IBOPE no Acordo ou quando exigido pela Lei de Proteção de Dados aplicável, o Fornecedor não deverá:

3.2.1 tentar reidentificar quaisquer Dados do IBOPE anonimizados, pseudonimizados ou desidentificados obtidos pelo Fornecedor em conexão com os Serviços. Quando o Fornecedor tratar Dados desidentificados do IBOPE sujeitos às Leis de Privacidade dos EUA, o Fornecedor deverá se comprometer publicamente a manter e utilizar tais dados em formato desidentificado e a não tentar reidentificá-los;

3.2.2 agregar, pseudonimizar, anonimizar ou desidentificar Dados Pessoais do IBOPE; ou

3.2.3 tratar Dados do IBOPE, incluindo Dados Pessoais anonimizados ou pseudonimizados do IBOPE, seja pelo Fornecedor ou por qualquer suboperador, em conexão com ou para fins de desenvolvimento, treinamento, teste, aprimoramento, suporte ou qualquer outra forma de uso de qualquer modelo de linguagem de grande porte, modelo de aprendizagem de máquina, modelo fundacional, sistema de inteligência artificial generativa, ou qualquer outro sistema de inteligência artificial ou sistema de tomada de decisão automatizada, ou tecnologia similar

3.3 O Fornecedor deverá, às suas próprias custas, disponibilizar ao IBOPE todas as informações razoavelmente necessárias para demonstrar a conformidade com este DPA, com as Medidas de Segurança, e com a Lei de Proteção de Dados, incluindo por meio de:

3.3.1 preencher questionários de proteção de dados e segurança da informação quando solicitado;

3.3.2 sujeitar se às condições estabelecidas no Acordo, permitindo e facilitando auditorias e inspeções das instalações do Fornecedor e dos suboperadores realizadas pelo IBOPE ou por auditores autorizados pelo IBOPE, incluindo acesso às instalações, recursos e pessoal utilizados na prestação dos Serviços;

3.3.3 fornecer registros e documentação precisos (incluindo todas as políticas, procedimentos, documentos e correspondências) consistentes com as práticas geralmente aceitas;

3.3.4 permitir que o IBOPE teste a conformidade do Fornecedor com as Medidas de Segurança do IBOPE; e

3.3.5 tomar medidas razoáveis e adequadas, mediante notificação do IBOPE, para interromper e remediar qualquer uso não autorizado de Dados Pessoais do IBOPE, e o Fornecedor deverá, às suas próprias custas, implementar quaisquer alterações razoavelmente solicitadas pelo IBOPE para corrigir falhas de conformidade identificadas durante tais auditorias, inspeções ou testes.

3.4 O Fornecedor deverá notificar imediatamente o IBOPE sobre qualquer determinação (seja sua ou de um suboperador) de que não pode mais cumprir suas obrigações previstas neste DPA, no Acordo ou na Lei de Proteção de Dados aplicável.

4 Segurança

4.1 O Fornecedor deverá implementar e manter medidas técnicas e organizacionais apropriadas para assegurar um nível de segurança adequado ao risco, incluindo medidas destinadas a proteger a confidencialidade, integridade, disponibilidade e resiliência dos Dados Pessoais do IBOPE contra um Incidente de Segurança. O Fornecedor deverá revisar e atualizar tais medidas regularmente e, em qualquer caso, sempre que necessário para manter um nível de segurança apropriado, levando em consideração os riscos apresentados pelo Tratamento. Essas medidas deverão incluir, no mínimo, os requisitos estabelecidos nas Medidas de Segurança.

4.2 Incidentes de Segurança

4.2.1 O Fornecedor deverá manter medidas técnicas e organizacionais apropriadas destinadas a detectar, responder e tratar Incidentes de Segurança, incluindo procedimentos para:

1. identificar e responder imediatamente a Incidentes de Segurança suspeitos ou conhecidos, incluindo a mitigação de quaisquer efeitos prejudiciais;
2. documentar os Incidentes de Segurança e seus respectivos resultados;
3. restabelecer, de forma tempestiva, a disponibilidade e o acesso aos Dados do IBOPE.

4.2.2 Exceto quando exigido pela legislação aplicável, se o Fornecedor tomar conhecimento de um Incidente de Segurança, ou de informações que razoavelmente o levem a suspeitar que um Incidente de Segurança ocorreu, o Fornecedor deverá notificar o IBOPE sem demora injustificada (e, em qualquer caso, em até 48 horas) e fornecer ao IBOPE uma descrição do Incidente de Segurança, incluindo, na medida conhecida no momento:

1. o impacto provável do Incidente de Segurança;
2. as categorias e o número aproximado de titulares afetados e seus países de residência;
3. as categorias e o número aproximado de registros afetados;
4. o risco que o Incidente de Segurança representa para os titulares; e
5. as medidas adotadas ou propostas pelo Fornecedor para tratar o Incidente de Segurança e mitigar seus efeitos adversos (“Esforços de Remediação”).

O Fornecedor deverá fornecer atualizações oportunas à medida que novas informações se tornarem disponíveis e em resposta a solicitações razoáveis do IBOPE

4.2.3 Após qualquer Incidente de Segurança, o Fornecedor deverá consultar de boa-fé o IBOPE a respeito dos Esforços de Remediação e deverá:

1. adotar quaisquer Esforços de Remediação adicionais ou alternativos razoavelmente solicitados pelo IBOPE ou por qualquer Autoridade Pública com jurisdição (incluindo uma autoridade supervisora competente), às custas do Fornecedor quando o Incidente de Segurança tiver sido causado por violação deste DPA pelo Fornecedor;
2. assegurar e fornecer garantia por escrito ao IBOPE de que medidas razoáveis foram e continuam sendo adotadas para evitar a recorrência do mesmo Incidente de Segurança ou de incidente similar; e
3. cooperar razoavelmente com quaisquer Esforços de Remediação conduzidos pelo IBOPE.

4.2.4 O Fornecedor não deverá divulgar ou publicar quaisquer registros, avisos, comunicados de imprensa, relatórios ou outras declarações públicas que identifiquem o IBOPE em conexão com qualquer Incidente de Segurança, sem a autorização prévia e por escrito do IBOPE, salvo se exigido pela legislação aplicável, caso em que o Fornecedor deverá notificar o IBOPE antecipadamente.

4.2.5 Não obstante qualquer disposição em contrário no Acordo, incluindo quaisquer limitações de responsabilidade, e sem prejuízo dos demais direitos do IBOPE, o Fornecedor deverá reembolsar o IBOPE por todos os custos e despesas razoáveis incorridos como resultado direto de um Incidente de Segurança, incluindo investigação, Esforços de Remediação, notificação e mitigação, na medida em que o Incidente de Segurança tenha sido causado pelo descumprimento deste DPA pelo Fornecedor

5 Subprocessamento

5.1 O Fornecedor não deverá divulgar, permitir o Tratamento ou de qualquer outra forma tornar acessíveis Dados Pessoais do IBOPE a qualquer suboperador, exceto quando expressamente autorizado pelo IBOPE.

5.2 O IBOPE autoriza os Suboperadores listados em: (a) o Acordo, ou (b) a URL do Fornecedor, desde que tal URL esteja expressamente identificada e acordada no Acordo.

5.3 Não obstante qualquer disposição em contrário no Acordo, o Fornecedor deverá:

5.3.1 exigir que cada suboperador, como condição para executar os Serviços, celebre um acordo escrito com o Fornecedor contendo obrigações de confidencialidade, segurança e proteção de dados tão protetivas quanto aquelas previstas neste DPA;

5.3.2 assegurar que todos os suboperadores cumpram integralmente os termos deste DPA e permanecer responsável por qualquer violação cometida pelo suboperador;

5.3.3 ser responsável por todos os atos e omissões de qualquer suboperador;

5.3.4 não permitir que qualquer suboperador ceda, subcontrate ou subprocessamento adicional de suas obrigações (exceto a uma Afiliada do Fornecedor) sem a autorização prévia e por escrito do IBOPE.

5.4 O Fornecedor deverá assegurar que cada suboperador que trate ou acesse Dados Pessoais do IBOPE:

5.4.1 seja competente para executar os Serviços subcontratados em conformidade com este DPA e com o Acordo; e

5.4.2 tenha implementado medidas técnicas e organizacionais adequadas para garantir a confidencialidade, segurança e conformidade com este DPA e o Acordo.

6 Transferências Restritas

6.1 Quando a transferência de Dados Pessoais do IBOPE ao Fornecedor constituir uma Transferência Restrita, as Partes deverão assegurar que tal transferência seja realizada mediante a adoção de garantias apropriadas, em conformidade com a Legislação de Proteção de Dados aplicável. Tais garantias deverão incluir, quando aplicável, a celebração de Cláusulas Contratuais-Padrão ou a implementação de mecanismo alternativo de transferência reconhecido nos termos da Legislação de Proteção de Dados.

6.2 Quando as Partes se apoiarem nas Cláusulas Contratuais Padrão (SCCs) como mecanismo de transferência

6.2.1 para fins das Cláusulas Contratuais Padrão da Argentina: os detalhes do Tratamento de Dados Pessoais para o Anexo A são aqueles definidos no Acordo, e o Fornecedor concorda que suas obrigações sob as Cláusulas Contratuais Padrão da Argentina serão regidas pelas leis da Argentina;

6.2.2 para fins das Cláusulas Contratuais Padrão do Brasil: (a) o IBOPE é o controlador e o Fornecedor é o operador; (b) para a cláusula 2 (Objeto), a finalidade da transferência, as categorias de Dados Pessoais, o período de retenção e demais informações são aquelas estabelecidas no Acordo; (c) para a cláusula 3 (Transferências Posteriores), aplica se a Opção A; (d) para a cláusula 4 (Responsabilidades das Partes), aplica se a Opção A, e o IBOPE será responsável por fornecer aviso de privacidade aos titulares, responder a Solicitações de Titulares e notificar Incidentes de Segurança; e (e) para a Seção III, aplicam se as Medidas de Segurança;

6.2.3 Para fins das Cláusulas Contratuais Padrão da União Europeia (EU SCCs): (a) aplica se o Módulo 2; (b) IBOPE é o Exportador de Dados e o Fornecedor é o Importador de Dados; (c) a cláusula 7 (Docking Clause) é incorporada; (d) para a cláusula 9 (Uso de suboperadores), aplica se a Opção 1; (e) a disposição opcional da cláusula 11 (Reparação) não é incorporada e não se aplica; (f) para a cláusula 13 (Supervisão) e o Anexo I.C (Autoridade Supervisora Competente), a autoridade supervisora competente será aquela responsável pelo cumprimento do GDPR para a Afiliada do IBOPE relevante; (g) para a cláusula 17 (Lei aplicável), a lei aplicável será a da Afiliada do IBOPE ou, se tal não for legislação de um Estado Membro da UE que reconheça direitos de terceiros beneficiários, a lei dos Países Baixos; (h) para a cláusula 18 (Foro e Jurisdição), terá jurisdição os tribunais dos Países Baixos; (i) o conteúdo do Anexo I.B (Descrição da Transferência) é o estabelecido no Apêndice 1 deste DPA; (j) o conteúdo do Anexo II (Medidas Técnicas e Organizacionais) corresponde às Medidas de Segurança; e (k) o conteúdo do Anexo III (Lista de suboperadores) é o estabelecido no Acordo;

6.2.4 Para fins das Cláusulas Contratuais Padrão da Suíça (Swiss SCCs): as Cláusulas Contratuais Padrão da UE aplicam se conforme estabelecido na cláusula 6.2.3 deste DPA, exceto que: (a) referências nas Cláusulas Contratuais Padrão da UE aos termos “General Data Protection Regulation” ou “Regulation (EU) 2016/679” devem ser interpretadas como incluindo a FADP; (b) referências nas Cláusulas Contratuais Padrão da UE ao Regulation (EU) 2018/1725 devem ser removidas; (c) referências a “Union”, “EU” e “EU Member State” não devem ser interpretadas de forma a excluir titulares na Suíça da possibilidade de exercer seus direitos em seu local de residência habitual (Suíça), conforme a cláusula 18(c) das SCCs da UE; (d) a Cláusula 13(a) e o Anexo I.C não são utilizados, e a autoridade supervisora competente será o Comissário Federal Suíço de Proteção de Dados e Informação (FDPIC), e nada na designação da autoridade supervisora deve ser interpretado de forma a impedir que titulares na Suíça recorram ao FDPIC; (e) as cláusulas serão regidas pelas leis da Suíça; e (f) as Partes concordam que qualquer disputa decorrente das Swiss SCCs será resolvida pelos tribunais da Suíça, e a escolha de foro no Acordo não deverá ser interpretada como impedimento para que titulares residentes na Suíça ajuízem ações na Suíça para exercer seus direitos;

6.2.5 Para fins das Cláusulas Contratuais Padrão da Turquia (Turkish SCCs): (a) aplica se o contrato padrão 2; (b) para a cláusula 8 (Suboperadores), aplica se a Opção 1; (c) para a cláusula 10 (Reparação), a disposição opcional não se aplica; (d) para a cláusula 16 (Notificação), IBOPE deverá notificar a autoridade supervisora; (e) as informações exigidas pelo Anexo I (Descrição das Transferências) são aquelas estabelecidas no Acordo, exceto que: (i) a base legal para a transferência é o interesse legítimo do IBOPE; e (ii) as informações de registro VERBİS do IBOPE correspondem ao registro VERBİS de IBOPE Medya Araştırmaları Danışmanlik ve Ticaret AŞ; (f) as informações exigidas pelo Anexo II (Medidas Técnicas e Organizacionais) são as estabelecidas nas Medidas de Segurança; e (g) as informações exigidas pelo Anexo III (Lista de Suboperadores) serão aquelas estabelecidas no Acordo.

6.2.6 Para fins das Cláusulas Contratuais Padrão do Reino Unido (UK SCCs): (a) as informações exigidas pela Tabela 1 serão aquelas estabelecidas no Acordo; (b) as informações exigidas pela Tabela 2 são aquelas estabelecidas na cláusula 6.2.3 deste DPA, exceto que: (i) as UK SCCs serão regidas pelas leis da Inglaterra e País de Gales; (ii) as Partes concordam que qualquer disputa decorrente das UK SCCs será resolvida pelos tribunais da Inglaterra e País de Gales; (iii) o UK GDPR aplica se ao Tratamento de Dados Pessoais pelo Fornecedor como Importador de Dados; (iv) o Fornecedor somente poderá transferir Dados Pessoais a suboperadores conforme as condições estabelecidas na cláusula 5 deste DPA; e (v) as Partes revisarão este DPA periodicamente para garantir que permaneça preciso, atualizado e que continue oferecendo salvaguardas apropriadas aos Dados Pessoais; (c) as informações exigidas pela Tabela 3 serão aquelas estabelecidas no Acordo e no Apêndice 1 deste DPA; e (d) para a Tabela 4, as Partes poderão encerrar as UK SCCs conforme as disposições do Acordo e da cláusula 9.1 deste DPA; e

6.2.7 Para fins das Cláusulas Contratuais Padrão do Uruguai (Uruguayan SCCs): a) para a cláusula 7 (Uso de suboperadores), aplica se a Opção 1; (b) para a cláusula 9 (Reparação), a disposição opcional não se aplica; (c) as informações exigidas pelos Anexos B e D serão aquelas estabelecidas no Apêndice 1 deste DPA; e (d) as informações exigidas no Anexo C correspondem às Medidas de Segurança.

6.3 O Fornecedor deverá garantir que nem ele nem qualquer suboperador realize qualquer Transferência Restrita de Dados Pessoais do IBOPE sem a autorização prévia e por escrito do IBOPE. Quando tal autorização for concedida, o Fornecedor deverá:

6.3.1 assegurar que a Transferência Restrita esteja em conformidade com a Lei de Proteção de Dados aplicável;

6.3.2 executar as Cláusulas Contratuais Padrão apropriadas ou implementar salvaguardas equivalentes; e

6.3.3 quando exigido pela Lei de Proteção de Dados aplicável, realizar uma avaliação de impacto de transferência levando em consideração as circunstâncias da transferência, as leis e práticas do país terceiro e quaisquer salvaguardas contratuais, técnicas e organizacionais relevantes que o Fornecedor tenha implementado com o suboperador.O Fornecedor deverá disponibilizar tal avaliação, ou um resumo dela, ao IBOPE mediante solicitação.

6.4 Se qualquer mecanismo de transferência utilizado com base neste DPA for invalidado ou deixar de constituir uma salvaguarda válida, IBOPE poderá, a seu exclusivo critério, exigir que o Fornecedor:

6.4.1 implemente um mecanismo alternativo de transferência; ou

6.4.2 cesse imediatamente a Transferência Restrita e não a reinicie até que tal mecanismo esteja implementado.

6.5 O Fornecedor declara e garante que não tem razões para acreditar que as leis e práticas a ele aplicáveis, incluindo quaisquer exigências de divulgação de Dados Pessoais a Autoridades Públicas, o impeçam de cumprir suas obrigações previstas neste DPA ou nas Cláusulas Contratuais Padrão aplicáveis. Em particular, o Fornecedor deverá notificar imediatamente o IBOPE, de acordo com a cláusula 3.1.6, se:

6.5.1 o Fornecedor receber uma solicitação de uma Autoridade Pública, tomar conhecimento de qualquer acesso direto por uma Autoridade Pública aos Dados Pessoais do IBOPE, ou tomar conhecimento de qualquer circunstância que possa afetar sua capacidade de cumprir as Cláusulas Contratuais Padrão; ou

6.5.2 o Fornecedor determinar que é incapaz de cumprir as Cláusulas Contratuais Padrão ou de fornecer um nível essencialmente equivalente de proteção aos Dados Pessoais do IBOPE sujeitos a uma Transferência Restrita. Nesse caso, o IBOPE poderá, a seu exclusivo critério: (a) suspender a Transferência Restrita; (b) exigir que o Fornecedor cesse o Tratamento dos Dados Pessoais do IBOPE; e/ou (c) rescindir o Acordo ou os Serviços afetados imediatamente, sem custo ou responsabilidade.

6.6 As Partes deverão cooperar prontamente e de boa fé para lidar com novas Leis de Proteção de Dados que afetem as Transferências Restritas e que se tornem vigentes durante a vigência do Acordo, incluindo a celebração de acordos adicionais ou o cumprimento de formalidades exigidas por tais leis.

7 Exclusão

7.1 Com o término ou encerramento do Acordo ou dos Serviços (o que ocorrer primeiro) e, em qualquer caso, em até 30 dias após tal evento, o Fornecedor deverá, conforme eleição do IBOPE, devolver e/ou destruir de forma segura todos os Dados do IBOPE. A destruição segura deverá incluir a eliminação permanente ou, quando permitido pela Lei de Proteção de Dados aplicável, a anonimização irreversível. O Fornecedor deverá garantir que todas as cópias, incluindo as armazenadas em backups, sejam destruídas de forma segura, exceto e somente na medida em que a retenção seja exigida pela legislação aplicável. Nesse caso, o Fornecedor deverá informar o IBOPE por escrito sobre o requisito legal e reter os Dados do IBOPE apenas pelo tempo e na extensão necessários para cumprir tal exigência.

7.2 O Fornecedor deverá fornecer prontamente ao IBOPE uma certificação por escrito, assinada por um executivo ou representante devidamente autorizado do Fornecedor, confirmando que todos os Dados do IBOPE foram devolvidos ou permanentemente excluídos da posse e controle do Fornecedor e de qualquer suboperador.

8 Indenização

8.1 Não obstante qualquer disposição em contrário no Acordo, o Fornecedor deverá defender, indenizar e isentar o IBOPE, seus diretores, administradores, empregados e agentes, de quaisquer e todas as reclamações, denúncias, ações regulatórias, processos, causas de pedir, multas, penalidades, perdas, custos e danos, incluindo honorários advocatícios razoáveis, decorrentes de ou relacionados a:

8.1.1 qualquer falha do Fornecedor, de seus empregados ou suboperadores em cumprir ou executar adequadamente qualquer obrigação sob este DPA; e

8.1.2 qualquer Incidente de Segurança, na medida em que tenha sido causado pelo Fornecedor, seus empregados ou suboperadores, exceto, em cada caso, na medida em que decorra direta e exclusivamente de atos ou omissões do IBOPE

8.2 Não obstante qualquer disposição em contrário no Acordo, as obrigações de indenização do Fornecedor sob esta cláusula 8 não estarão sujeitas a qualquer limitação ou exclusão de responsabilidade.

9 Disposições Gerais

9.1 Sobrevivência. As obrigações do Fornecedor sob este DPA sobreviverão ao término ou à expiração do Acordo e continuarão enquanto o Fornecedor, ou qualquer de seus suboperadores, tratar, reter ou de qualquer forma tiver acesso aos Dados do IBOPE.

9.2 Atualizações. O IBOPE poderá atualizar este DPA periodicamente, conforme razoavelmente necessário para refletir alterações na Lei de Proteção de Dados, decisões judiciais ou orientações de autoridades supervisores.Tais atualizações tornar-se-ão efetivas 30 dias após notificação ao Fornecedor, e o Fornecedor concorda em ficar vinculado à versão atualizada do DPA a partir de sua vigência.