Acordo de Proteção de Dados

ESTE ACORDO DE PROTEÇÃO DE DADOS (“DPA”) está sujeito ao Contrato de Serviços e/ou ao Contrato de Terceirização (conforme aplicável) celebrado entre a entidade da Nium aplicável (“Nium”) e a entidade cliente aplicável (“Cliente”) que é parte desse contrato, e faz parte integrante desses contratos. A Nium e o Cliente serão referidos coletivamente neste documento como “Partes” e, individualmente, como “Parte”.

1. DEFINIÇÕES 

1. “Empresa” refere-se ao termo conforme definido na CCPA dos EUA.
2. “Objetivo Comercial” significa a prestação dos Serviços da Nium pela Nium, nos termos de qualquer Contrato de Serviços aplicável, ou a prestação dos Serviços do Cliente pelo Cliente, nos termos de qualquer Contrato de Terceirização aplicável.
3. “Serviços ao Cliente” refere-se a quaisquer serviços prestados pelo Cliente à Nium nos termos de qualquer Contrato de Terceirização aplicável.
4. “Responsável pelo tratamento” significa a entidade que determina as finalidades e os meios do tratamento de dados pessoais.
5. “Reclamação relacionada a dados” significa uma reclamação ou solicitação relacionada às obrigações de qualquer uma das Partes nos termos das Leis de Proteção de Dados pertinentes ao presente DPA, incluindo qualquer reclamação apresentada por um Titular de Dados ou qualquer notificação, investigação ou outra ação por parte de uma autoridade supervisora.
6. “Incidente de Dados” significa qualquer ato ou omissão que comprometa a segurança, a confidencialidade ou a integridade dos Dados Pessoais, ou as medidas de proteção físicas, técnicas, administrativas ou organizacionais implementadas para protegê-los, e que atinja o nível de uma violação de segurança ou incidente nos termos das Leis de Proteção de Dados aplicáveis. Os Incidentes de Dados incluem a aquisição, destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a Dados Pessoais, sejam eles acidentais ou ilícitos.
7. “Leis de Proteção de Dados” significa todas as leis, regulamentos e outros requisitos juridicamente vinculativos em qualquer jurisdição relacionados à privacidade, proteção de dados, segurança de dados, notificação de violação ou ao Tratamento de Dados Pessoais nos termos deste DPA, incluindo, sem limitação, exclusivamente na medida em que forem aplicáveis, o Regulamento Geral de Proteção de Dados, Regulamento (UE) 2016/679 (“RGPD da UE”); a Lei de Proteção de Dados do Reino Unido de 2018 (“GDPR do Reino Unido”); a Lei Federal Suíça sobre Proteção de Dados (“FADP”); a Lei de Proteção de Dados Pessoais e Documentos Eletrônicos, S.C. 2000, c. 5, do Canadá, juntamente com quaisquer leis e regulamentos sucessores que tenham a mesma intenção e efeito gerais (PIPEDA do Canadá), a Lei de Proteção de Dados Pessoais de Cingapura de 2012 (“PDPA de Cingapura”), a Lei de Privacidade do Consumidor da Califórnia, Código Civil da Califórnia § 1798.100 e seguintes (conforme alterada e juntamente com seus regulamentos, a “CCPA dos EUA”), e a Lei Indonésia nº 27 de 2022 sobre Proteção de Dados Pessoais, juntamente com quaisquer leis e regulamentos sucessores e de implementação que tenham a mesma intenção e efeito gerais, a Lei Geral de Proteção de Dados do Brasil (Lei nº 13.709/2018, conforme alterada) (“LGPD brasileira”), juntamente com quaisquer leis sucessoras, regulamentos de implementação e orientações vinculativas emitidas pela Autoridade Nacional de Proteção de Dados (“ANPD”) que tenham a mesma intenção e efeito gerais. Para evitar dúvidas, se as atividades de uma Parte envolvendo Dados Pessoais não estiverem dentro do escopo de uma determinada Lei de Proteção de Dados, tal lei não será aplicável para os fins deste DPA.
8. “Titular dos Dados” refere-se à pessoa identificada ou identificável à qual se referem os Dados Pessoais.
9. “Solicitação do Titular dos Dados” significa uma solicitação do Titular dos Dados relacionada ao Tratamento de Dados Pessoais no âmbito de um Contrato de Serviços ou dos Serviços da Nium, com o objetivo de exercer o direito de acesso, o direito à retificação, o direito de restringir o Tratamento, o direito ao apagamento (ou seja, o “direito ao esquecimento”), direito à portabilidade dos dados, direito de se opor ao tratamento, direito de não ser submetido a decisões individuais automatizadas, direito à confirmação da existência do tratamento, direito à informação sobre as entidades com as quais os dados foram compartilhados, direito à anonimização ou ao bloqueio de dados desnecessários, direito de revogar o consentimento, direito à informação sobre as consequências da recusa do consentimento ou qualquer outro direito aplicável do titular dos dados disponível para tal titular nos termos das Leis de Proteção de Dados aplicáveis.
10. “GDPR” refere-se ao GDPR da UE ou ao GDPR do Reino Unido (conforme o caso).
11. “Cláusulas Contratuais Padrão da UE” significa (i) as Cláusulas Contratuais Padrão baseadas na Decisão C(2010)593 da Comissão sobre cláusulas contratuais padrão, conforme estabelecidas no Anexo da Decisão (UE) 2021/914 da Comissão, relativa às cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, disponíveis em http://data.europa.eu/eli/dec_impl/2021/914/oj e preenchidas conforme estabelecido neste documento, com as alterações e modificações aplicáveis, e (ii) quaisquer cláusulas contratuais padrão sucessoras que tenham a mesma intenção e efeito gerais.
12. “Contrato de Terceirização” significa o contrato de terceirização celebrado entre as Partes, nos termos do qual a Nium recebe determinados serviços terceirizados do Cliente.
13. “Serviços da Nium” refere-se a quaisquer serviços prestados pela Nium ao Cliente nos termos do Contrato de Serviços aplicável.
14. “Dados Pessoais” significa qualquer informação que (a) identifique ou se refira a um indivíduo que possa ser identificado direta ou indiretamente a partir desses dados, isoladamente ou em combinação com outras informações na posse ou sob o controle de uma das Partes, ou às quais tal Parte provavelmente tenha acesso, ou (b) qualquer outra informação definida como “informações pessoais” ou “dados pessoais” nos termos de quaisquer Leis de Proteção de Dados aplicáveis, que sejam processados por uma Parte em conexão com o Contrato de Prestação de Serviços ou o Contrato de Terceirização (conforme aplicável) e este DPA.
15. “Tratamento” ou “Tratamento de Dados” significa qualquer operação ou conjunto de operações realizadas sobre Dados Pessoais, seja por meios automáticos ou não, incluindo coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por meio de transmissão, difusão ou qualquer outra forma de disponibilização, alinhamento ou combinação, restrição, apagamento ou destruição, ou qualquer outra atividade que as Leis de Proteção de Dados aplicáveis possam incluir na definição de tratamento.
16. “Subcontratado” significa a entidade que trata Dados Pessoais em nome do Controlador.
17. “Contrato de Prestação de Serviços” significa um contrato de prestação de serviços celebrado entre as Partes, nos termos do qual o Cliente recebe os Serviços da Nium da Nium ou de suas afiliadas, incluindo, entre outros, o Contrato de Serviços Nium Direct ou o Contrato de Serviços da Plataforma Nium.
18. “Prestador de serviços” significa um Subcontratado que trata Dados Pessoais para Fins Comerciais e qualquer outra entidade definida como “prestador de serviços” ou “contratado” nos termos das Leis de Proteção de Dados aplicáveis.
19. “Cláusulas Contratuais Padrão” significa (i) as Cláusulas Contratuais Padrão da UE (quando aplicável) e (ii) as Cláusulas Contratuais Padrão do Reino Unido (quando aplicável).
20. “Subcontratado” significa um terceiro contratado por um Contratado.
21. “Cláusulas Contratuais Padrão do Reino Unido” significa (i) o Adendo do Reino Unido às Cláusulas Contratuais Padrão da União Europeia, fornecido pelo Gabinete do Comissário de Informação do Reino Unido, conforme alterado e modificado, e (ii) quaisquer cláusulas contratuais padrão sucessoras que tenham a mesma intenção e efeito gerais.

2. TRATAMENTO DE DADOS PESSOAIS

a. Termos relativos ao Controlador Independente no âmbito de um Contrato de Prestação de Serviços. Quando as Partes processarem Dados Pessoais no âmbito de um Contrato de Prestação de Serviços ou de outra forma relacionada a ele, as Partes entendem e concordam que estão agindo, e deverão agir, de forma independente uma da outra no respectivo processamento desses Dados Pessoais, e que os termos a seguir e as partes aplicáveis do Apêndice A, conforme referenciadas, serão aplicáveis no que diz respeito ao processamento de Dados Pessoais no âmbito do Contrato de Prestação de Serviços:

1. Funções das Partes como Controladores Independentes. Funções das Partes como Controladores Independentes. As Partes concordam que, no que diz respeito ao tratamento de dados pessoais nos termos das leis de proteção de dados que definem a relação entre as Partes como uma relação entre um controlador e um processador (como o RGPD), a Nium e o Cliente serão ambos considerados controladores independentes, determinarão individualmente as finalidades e os meios de tratamento desses dados pessoais e não serão “controladores conjuntos” desses dados pessoais, nos termos do Artigo 26 (1) do RGPD. As Partes compreendem e concordam que o módulo aplicável das Cláusulas Contratuais Padrão foi determinado de acordo com as funções das Partes, conforme definido nesta Seção 2(a), e com as funções das Partes como importador e exportador. As Partes concordam que, no que diz respeito ao tratamento de dados pessoais nos termos das Leis de Proteção de Dados que definem a relação entre as Partes como sendo entre uma Empresa e um Prestador de Serviços (como a CCPA dos EUA), nenhuma das Partes será considerada um Prestador de Serviços, e cada Parte será considerada a Empresa. As Partes concordam que, no que diz respeito ao Tratamento de Dados Pessoais nos termos das Leis de Proteção de Dados que definem a relação entre as Partes como sendo entre uma “organização” e um “intermediário de dados” (como a PDPA de Cingapura), tanto a Nium quanto o Cliente serão considerados organizações independentes. Nada neste DPA, nem no Contrato de Serviços ou no Contrato de Terceirização (conforme aplicável), deve ser interpretado de forma a afirmar ou sugerir que (A) a Nium tenha uma relação direta com os clientes ou usuários individuais do Cliente, a menos que tal relação direta seja especificamente estabelecida nos termos do Contrato de Serviços ou do Contrato de Terceirização (conforme aplicável), ou (B) que a Nium esteja atuando como Encargada do Tratamento nos termos das Leis de Proteção de Dados. As Partes concordam e reconhecem ainda que nenhuma das Partes é responsável por determinar os requisitos das Leis de Proteção de Dados aplicáveis à outra Parte.
2. Responsabilidade das Partes. Sem limitar as funções identificadas na Seção 2(a)(i) acima, cada Parte concorda em: (A) manter em seu site uma política de privacidade acessível ao público que atenda a todos os requisitos aplicáveis de transparência e notificação, conforme exigido pelas Leis de Proteção de Dados no que diz respeito ao Tratamento de Dados Pessoais; (B) excluir ou destruir os Dados Pessoais, de acordo com os requisitos das Leis de Proteção de Dados aplicáveis, após o término da finalidade do Tratamento desses Dados Pessoais, a menos que a legislação aplicável exija um período de retenção mais longo; e (C) implementar medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais, e (D) na medida exigida pela LGPD brasileira, nomear e divulgar publicamente a identidade e as informações de contato de um Encarregado pelo Tratamento de Dados Pessoais, de acordo com o Art. 41 da LGPD, responsável por receber reclamações e comunicações dos Titulares dos Dados e da ANPD.
3. Tratamento de Dados Pessoais. As partes concordam em tratar os Dados Pessoais como Informações Confidenciais, de acordo com os termos de cada Contrato de Serviços ou Contrato de Terceirização (conforme aplicável). Cada Parte reconhece e confirma que, apenas na medida exigida pelas Leis de Proteção de Dados: (A) cumprirá as Leis de Proteção de Dados aplicáveis e este DPA no que se refere ao seu Tratamento de Dados Pessoais; (B) dará apenas instruções legítimas a quaisquer Processadores e/ou Prestadores de Serviços; (C) será responsável por determinar a base jurídica de suas próprias atividades de tratamento; (D) não tentará reidentificar quaisquer Dados Pessoais pseudonimizados, anonimizados, agregados ou desidentificados sem a permissão expressa por escrito da outra Parte; e (E) prestará à outra Parte assistência, informações e cooperação razoáveis, conforme tal Parte possa razoavelmente solicitar, para garantir o cumprimento das respectivas obrigações das Partes nos termos das Leis de Proteção de Dados. Nada neste DPA deve ser interpretado como concessão de qualquer direito de propriedade ou licença sobre os Dados Pessoais que seja contrário aos direitos de propriedade e licenças estabelecidos no Contrato de Serviços ou no Contrato de Terceirização.
4. Solicitações de Titulares de Dados. Cada Parte deverá, na medida do permitido por lei, notificar a outra Parte dentro de um prazo razoável caso a Parte notificante receba uma Solicitação de Titular de Dados. A Parte notificante envidará esforços comercialmente razoáveis para auxiliar a outra Parte a responder a tal solicitação do titular de dados, na medida em que a Parte notificante esteja legalmente autorizada a fazê-lo e a resposta a tal solicitação seja exigida pelas Leis de Proteção de Dados. A outra Parte será responsável por quaisquer custos decorrentes da prestação de tal assistência pela Parte notificante.
5. Incidente de Dados. Caso qualquer uma das Partes sofra um Incidente de Dados relacionado a quaisquer Serviços da Nium, tal Parte deverá notificar a outra Parte sem demora injustificada após tomar conhecimento do Incidente de Dados. Caso o Incidente de Dados envolva Dados Pessoais sujeitos à LGPD e seja suscetível de gerar risco ou dano relevante aos Titulares de Dados, nos termos do Art. 48 da LGPD, a Parte responsável pelo Tratamento deverá notificar a ANPD e, quando necessário, os Titulares de Dados afetados, no prazo máximo de setenta e duas (72) horas após a constatação. Caso o Incidente de Dados envolva Dados Pessoais sujeitos ao RGPD, a Parte responsável pelo Tratamento deverá notificar a autoridade de supervisão competente sem demora injustificada e, quando viável, no prazo máximo de setenta e duas (72) horas após tomar conhecimento do fato, de acordo com o Art. 33 do RGPD. Caso o Incidente de Dados seja suscetível de resultar em alto risco aos direitos e liberdades dos Titulares de Dados, a Parte responsável pelo Tratamento deverá notificar os Titulares de Dados afetados sem demora injustificada, em conformidade com o Art. 34 do GDPR. Caso o Incidente de Dados envolva Dados Pessoais de residentes da Califórnia, a Parte responsável pelo Tratamento deverá notificar os consumidores afetados, em conformidade com o §1798.82 do Código Civil da Califórnia, sem demora injustificada.

b. Termos relativos ao processador no âmbito de um contrato de terceirização. Quando o Cliente processar Dados Pessoais da Nium nos termos de um contrato de terceirização ou de outra forma relacionada a ele, aplicam-se as partes pertinentes do Apêndice A, conforme referenciado, e a totalidade do Apêndice B.

3. COOPERAÇÃO

Cada Parte deverá prestar assistência razoável à outra Parte e cooperar no que diz respeito a qualquer consulta ou solicitação por parte de qualquer autoridade reguladora ou supervisora com jurisdição sobre essa outra Parte, relacionada ao Tratamento de Dados Pessoais, na medida em que se refira aos Serviços da Nium e seja exigida pelas Leis de Proteção de Dados.

4. TRANSFERÊNCIAS INTERNACIONAIS

Caso as Leis de Proteção de Dados restrinjam as transferências transfronteiriças de Dados Pessoais entre dois Controladores independentes, cada Parte só transferirá Dados Pessoais para a outra Parte nas seguintes condições: (a) a Parte transferente, seja por meio de sua localização ou de sua participação em um mecanismo válido de transferência transfronteiriça nos termos das Leis de Proteção de Dados, possa receber legalmente esses Dados Pessoais; ou (b) a transferência esteja, de outra forma, em conformidade com as Leis de Proteção de Dados. Caso qualquer transferência de Dados Pessoais entre as Partes, na qualidade de dois Controladores independentes, exija a celebração de Cláusulas Contratuais Padrão para cumprir as Leis de Proteção de Dados, as Partes concordam que as Cláusulas Contratuais Padrão, em sua totalidade e conforme aplicável, ficam por meio deste incorporadas ao presente DPA e prevalecerão. No que diz respeito a qualquer transferência de Dados Pessoais entre o Cliente e a Nium que exija a celebração de Cláusulas Contratuais Padrão, caso este DPA não forneça todas as informações necessárias para a celebração adequada das Cláusulas Contratuais Padrão aplicáveis, as Partes tomarão todas as medidas necessárias para legitimar a transferência, incluindo, se necessário: (x) cooperar para registrar as Cláusulas Contratuais Padrão junto a qualquer autoridade supervisora competente; (y) obter a aprovação de tal autoridade supervisora; ou (z) fornecer informações adicionais sobre a transferência a tal autoridade supervisora. Conforme aplicável, em caso de conflito ou inconsistência entre este DPA e as Cláusulas Contratuais Padrão, prevalecerão as Cláusulas Contratuais Padrão.

Para transferências de Dados Pessoais sujeitas à FADP, as Cláusulas Contratuais Padrão da UE fazem parte deste Acordo de Proteção de Dados (DPA), conforme estabelecido acima, mas com as seguintes diferenças, na medida exigida pela FADP: (1) as referências ao RGPD da UE nas Cláusulas Contratuais Padrão da UE devem ser entendidas como referências à FADP, na medida em que as transferências de dados estejam sujeitas exclusivamente à FADP e não ao RGPD da UE; (2) o termo “Estado-Membro” nas Cláusulas Contratuais Padrão da UE não deve ser interpretado de forma a excluir os titulares de dados na Suíça da possibilidade de ajuizar uma ação para fazer valer seus direitos em seu local de residência habitual (Suíça), de acordo com a Cláusula 18(c) das Cláusulas Contratuais Padrão da UE; e (3) a autoridade de supervisão competente é o Comissário Federal Suíço para a Proteção de Dados e Informação (para transferências sujeitas à FADP e não ao RGPD da UE), ou tanto esse Comissário quanto a autoridade de supervisão identificada nas Cláusulas Contratuais Padrão da UE (nos casos em que se aplicam, respectivamente, a FADP e o RGPD da UE).

5. LGPD BRASILEIRA

1. Na medida em que os Dados Pessoais estejam sujeitos à LGPD brasileira, as Partes concordam com o seguinte:
   1. Cada Parte é um Controlador independente nos termos do Art. 5, VI, da LGPD. Cada Parte determina sua própria base jurídica para o Tratamento nos termos do Art. 7 (dados pessoais) e do Art. 11 (dados sensíveis) da LGPD e, quando se basear no interesse legítimo (Art. 7, IX), deverá realizar uma avaliação do interesse legítimo nos termos do Art. 10.
   2. Cada Parte deverá assegurar que os Dados Pessoais sejam coletados e tratados em conformidade com os princípios estabelecidos no Art. 6º da LGPD brasileira, incluindo limitação da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e prestação de contas.
   3. Nenhuma das Partes deverá tratar Dados Pessoais sensíveis (conforme definido no Art. 5º, II, da LGPD brasileira, incluindo dados biométricos) em relação aos Serviços, exceto quando estritamente necessário e em conformidade com o Art. 11 da LGPD brasileira.
   4. Cada Parte reconhece que a ANPD é a autoridade supervisora competente para a aplicação da LGPD brasileira e concorda em cooperar com qualquer investigação ou inquérito da ANPD.
   5. Quando o consentimento for utilizado como base jurídica, cada Parte deverá garantir que tal consentimento seja dado livremente, de forma informada e inequívoca, para fins específicos, e que haja um mecanismo simples para sua revogação (Art. 8 da LGPD brasileira).
   6. No caso de um Incidente de Dados envolvendo Dados Pessoais sujeitos à LGPD brasileira, a Parte afetada por tal incidente deverá notificar a ANPD e os Titulares dos Dados afetados dentro do prazo estabelecido pelos regulamentos da ANPD, fornecendo as informações exigidas pelo Art. 48 da LGPD brasileira.
2. As transferências de Dados Pessoais sujeitas à LGPD brasileira somente ocorrerão:
   1. para países ou organizações internacionais que ofereçam um nível adequado de proteção de dados pessoais, conforme determinado pela ANPD;
   2. quando o controlador garantir e comprovar a conformidade por meio de cláusulas contratuais-padrão emitidas ou aprovadas pela ANPD, regras corporativas vinculativas aprovadas pela ANPD ou outros mecanismos especificamente autorizados pela ANPD;
   3. quando a transferência for necessária para fins de cooperação jurídica internacional;
   4. quando a transferência for necessária para proteger a vida ou a integridade física do Titular dos Dados;
   5. quando a ANPD tiver autorizado a transferência;
   6. quando o Titular dos Dados tiver dado consentimento específico e expresso para a transferência, tendo sido previamente informado sobre o caráter internacional da operação; ou
   7. quando a transferência for necessária para cumprir uma obrigação legal ou regulatória, para a execução de um contrato do qual o Titular dos Dados seja parte, ou para o exercício regular de direitos em processos judiciais, administrativos ou arbitrais (Art. 33 da LGPD brasileira).

6. CCPA dos EUA

Caso uma das partes divulgue Dados Pessoais (“Parte Divulgadora”) à outra parte (“Parte Receptora”), as Partes concordam que tal divulgação não será considerada uma “Venda” ou “Compartilhamento” para fins de “Publicidade Comportamental entre Contextos” (conforme os termos entre aspas são definidos na CCPA dos EUA), e que tal divulgação se destinará exclusivamente aos fins comerciais legítimos das partes, conforme detalhado no Contrato de Serviços ou no Contrato de Terceirização (conforme aplicável), e para os fins permitidos pela CCPA dos EUA, juntamente com suas alterações e regulamentações juridicamente vinculativas. A Parte Receptora declara e garante que não reterá, utilizará, divulgará ou processará Dados Pessoais obtidos nos termos do Contrato para qualquer finalidade que não seja aquela aqui estabelecida, a menos que a Parte Receptora tenha recebido o consentimento adequado, nos termos da Lei de Proteção de Dados, da pessoa a quem os Dados Pessoais se referem. A Parte Receptora declara e garante que cumprirá todos os requisitos da Lei de Proteção de Dados, incluindo, mas não se limitando a:

• garantir o mesmo nível de proteção à privacidade dos Dados Pessoais exigido da Parte Divulgadora nos termos da Lei de Proteção de Dados e, em hipótese alguma, inferior a um padrão razoável de cuidado;
• fornecer todas as informações exigidas, tais como políticas de privacidade, avisos no momento da coleta ou avisos de opção de recusa aos indivíduos cujos Dados Pessoais sejam tratados; e respeitar todos os direitos de opção de recusa exigidos; e
• implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança dos Dados Pessoais adequado ao risco.
• Não se trata de “venda” ou “compartilhamento” para fins de publicidade comportamental entre contextos com uso de dados pessoais (conforme a definição desses termos na CCPA dos EUA).

A Parte Divulgadora tem o direito de tomar medidas razoáveis e adequadas para garantir que a Parte Receptora utilize os Dados Pessoais fornecidos pela Parte Divulgadora nos termos do Contrato, em conformidade com a Lei de Proteção de Dados, e, mediante notificação prévia razoável, de tomar medidas razoáveis para impedir e corrigir qualquer uso de Dados Pessoais pela Parte Receptora que seja incompatível com as Leis de Proteção de Dados aplicáveis ou com esta disposição.

7. DISPOSIÇÕES GERAIS

1. Requisitos de Notificação. Cada Parte concorda em notificar a outra Parte caso determine que não pode ou não poderá mais cumprir as obrigações estabelecidas neste DPA ou nas Leis de Proteção de Dados aplicáveis no que diz respeito à Finalidade Comercial. Todas essas notificações deverão ser enviadas de acordo com as disposições relativas a notificações estabelecidas no Contrato de Serviços ou no Contrato de Terceirização aplicável (conforme o caso).
2. Prazo. Este DPA permanecerá em vigor durante a vigência (i) do Contrato de Prestação de Serviços ou (ii) do Contrato de Terceirização, salvo acordo em contrário por escrito entre as Partes.
3. Cláusula de separabilidade. Caso uma ou mais disposições deste DPA sejam consideradas inexequíveis nos termos da legislação aplicável, as Partes concordam em renegociar tal disposição de boa-fé. Caso tal disposição não seja exigida pelas Leis de Proteção de Dados e as Partes não consigam chegar a um acordo sobre uma substituição mutuamente aceitável e aplicável, então (a) tal disposição será excluída deste DPA, (b) o restante deste DPA será interpretado como se tal disposição tivesse sido excluída, e (c) o restante deste DPA será aplicável de acordo com seus termos.
4. Limitação de Responsabilidade. A responsabilidade de cada Parte decorrente ou relacionada a este DPA, seja por contrato, ato ilícito ou sob qualquer outra teoria de responsabilidade, está sujeita às limitações de responsabilidade estabelecidas no Contrato de Serviços ou no Contrato de Terceirização aplicável; e qualquer referência no Contrato de Serviços ou no Contrato de Terceirização que limite a responsabilidade de uma Parte refere-se à responsabilidade total dessa Parte nos termos de tal contrato e deste DPA.
5. Legislação Aplicável e Jurisdição. O presente DPA será regido e interpretado de acordo com as leis da jurisdição competente estabelecida no Contrato de Serviços ou no Contrato de Terceirização aplicável (a “Jurisdição Competente”), e as partes se submeterão à jurisdição exclusiva dos tribunais da Jurisdição Competente para qualquer controvérsia que possa surgir em decorrência ou em conexão com o presente DPA; desde que, no entanto, (i) qualquer litígio decorrente das Cláusulas Contratuais Padrão da UE seja regido e interpretado de acordo com as leis de Malta ou da Suíça (conforme previsto na Seção 4 acima, de acordo com a FADP) e esteja sujeito à jurisdição dos tribunais de Malta e (ii) qualquer litígio decorrente das Cláusulas Contratuais Padrão do Reino Unido será regido e interpretado de acordo com as leis da Inglaterra e do País de Gales e estará sujeito à jurisdição dos tribunais da Inglaterra e do País de Gales. (iii) qualquer litígio decorrente ou relacionado ao tratamento de Dados Pessoais sujeitos à LGPD brasileira será regido e interpretado de acordo com as leis da República Federativa do Brasil e estará sujeito à jurisdição dos tribunais da Comarca de São Paulo, Estado de São Paulo.
6. Medidas corretivas. A Nium e o Cliente concordam, cada um por si, que as obrigações estabelecidas neste DPA são necessárias e razoáveis para garantir que os Titulares dos Dados continuem a se beneficiar de salvaguardas e proteção eficazes, conforme exigido pelas Leis de Proteção de Dados. A Nium e o Cliente concordam expressamente que, devido à natureza singular dos Dados Pessoais abrangidos pelo presente documento, indenizações monetárias seriam inadequadas para compensar qualquer uma das Partes por qualquer violação, por parte da outra Parte, de seus compromissos e acordos estabelecidos neste DPA. Assim, a Nium e o Cliente concordam e reconhecem que qualquer violação ou ameaça de violação causará dano irreparável a uma das Partes e que, além de quaisquer outras medidas corretivas que possam estar disponíveis, por lei, em equidade ou de outra forma, tal Parte terá o direito de obter medida cautelar contra a ameaça de violação deste DPA ou a continuação de tal violação pela outra Parte, sem a necessidade de comprovar danos reais. Salvo conforme expressamente estabelecido neste DPA, os direitos e recursos de cada Parte nos termos deste DPA são cumulativos e não excluem quaisquer outros direitos ou recursos aos quais a Parte possa ter direito legalmente nos termos deste DPA ou por força da lei, e cada Parte poderá exercer todos os seus direitos e recursos simultaneamente, consecutivamente e alternativamente.
7. Títulos. Os títulos e subtítulos contidos neste DPA têm caráter meramente prático e não definem, limitam nem ampliam o escopo ou o significado deste DPA nem de qualquer de suas disposições.
8. Alteração e Renúncia. A Nium poderá modificar a totalidade ou parte deste DPA a qualquer momento, mediante a publicação de uma versão modificada deste DPA (incluindo quaisquer termos incorporados por referência neste DPA) na Página Jurídica da Nium ou mediante notificação ao Cliente. O DPA modificado entra em vigor no momento da publicação ou, caso a Nium tenha notificado o Cliente, conforme indicado na notificação. Caso o Cliente se oponha a qualquer um dos termos modificados no DPA, ele poderá rescindir este DPA juntamente com o Contrato de Serviços. Ao continuar a utilizar os Serviços após a data de vigência de qualquer modificação neste DPA, o Cliente concorda em se submeter ao DPA modificado. É obrigação da Empresa verificar regularmente a Página Jurídica da Nium para verificar se há modificações neste DPA. A Nium modificou este DPA pela última vez na data indicada no início deste DPA. Salvo disposição em contrário neste DPA (incluindo esta cláusula), este Acordo não poderá ser modificado, a não ser por escrito pelas partes. Sem limitar o acima exposto, as Partes reconhecem que as Leis de Proteção de Dados e as Cláusulas Contratuais Padrão foram incorporadas a este DPA conforme alteradas e modificadas e incluem todos os regulamentos de implementação promulgados nos termos das mesmas, conforme aplicável. As Partes reconhecem e concordam que as emendas e modificações às Leis de Proteção de Dados e às Cláusulas Contratuais Padrão serão automaticamente incorporadas ao presente DPA; tais emendas e modificações às Leis de Proteção de Dados e às Cláusulas Contratuais Padrão podem alterar as obrigações das Partes nos termos do presente DPA, mas não serão consideradas uma emenda ou modificação do presente DPA que exija notificação por parte da Nium. As Partes reconhecem e concordam que a mera emissão de alterações e modificações às Leis de Proteção de Dados e às Cláusulas Contratuais Padrão não conferirá a nenhuma das Partes o direito unilateral de rescindir qualquer parte deste DPA.
9. Vigência. As disposições deste DPA permanecerão em vigor após a rescisão ou o vencimento do Contrato de Serviços ou do Contrato de Terceirização aplicável, enquanto as Partes processarem Dados Pessoais.
10. Acordo Integral. Este DPA é fruto do acordo entre ambas as Partes e constitui o acordo integral entre elas no que diz respeito ao objeto do presente documento, substituindo todos os demais acordos e entendimentos anteriores, tanto escritos quanto verbais, entre as Partes relativos ao objeto do presente documento. Em caso de conflito ou ambiguidade entre qualquer disposição deste DPA e do Contrato de Serviços ou do Contrato de Terceirização, prevalecerão as disposições deste DPA.

ANEXO A

ANEXOS I E II ÀS CLÁUSULAS CONTRATUAIS PADRÃO DA UNIÃO EUROPEIA

ANEXO I

A. LISTA DE PARTIDOS

Exportadores e importadores de dados:

B. DESCRIÇÃO DA TRANSFERÊNCIA

C. AUTORIDADE SUPERVISORA COMPETENTE

ANEXO II

MEDIDAS TÉCNICAS E ORGANIZACIONAIS, INCLUINDO
MEDIDAS TÉCNICAS E ORGANIZACIONAIS PARA GARANTIR A SEGURANÇA DOS DADOS

As medidas técnicas e organizacionais da Nium são as descritas a seguir:

As medidas técnicas e organizacionais do Cliente são as descritas a seguir:

ANEXO III

Termos específicos no Japão relativos à proteção de dados

ESTES TERMOS (“Termos”), conforme estabelecidos a seguir, serão aplicáveis em complemento aos termos do DPA celebrado entre a Nium e o Cliente no Japão, que é parte desse contrato. Caso haja conflito entre as disposições do DPA e dos Termos, estes últimos prevalecerão.

1. DEFINIÇÃO

Salvo indicação em contrário no contexto, os termos definidos no Acordo de Proteção de Dados terão os mesmos significados quando utilizados nestes Termos.

1. “Leis de Proteção de Dados” significa todas as leis, regulamentos e outros requisitos juridicamente vinculativos em qualquer jurisdição relacionados à privacidade, proteção de dados, segurança de dados, notificação de violação ou ao Tratamento de Dados Pessoais nos termos deste DPA, incluindo, sem limitação, exclusivamente na medida em que forem aplicáveis, a Lei Japonesa de Proteção de Informações Pessoais (Lei nº 57 de 2003) e a Lei Japonesa sobre o Uso de Números para Identificar um Indivíduo Específico em Procedimentos Administrativos (Lei nº 27 de 2013), juntamente com quaisquer leis e regulamentos sucessores e de implementação que tenham a mesma intenção e efeito gerais.
2. “Número Individual” significa o número obtido por meio da conversão do código do certificado de residência (ou seja, o código do certificado de residência previsto no Artigo 7º, item (xiii) da Lei do Cadastro Básico de Residência (Lei nº 81 de 1967)), e que é atribuído com o objetivo de identificar a pessoa a quem se refere o certificado de residência no qual está registrado o referido código.
3. “Dados Pessoais Específicos” significa informações pessoais que contêm o Número de Identificação Individual (incluindo números, marcas e códigos de informação, exceto o código do certificado de residência, que correspondam ao Número de Identificação Individual e sejam utilizados como substituto desse Número de Identificação Individual).

2. A FINALIDADE DO TRATAMENTO DE DADOS PESSOAIS ESPECÍFICOS

1. O Cliente poderá utilizar Dados Pessoais Específicos dos clientes da Nium exclusivamente para os Fins Comerciais da Nium, em conformidade com a Lei Japonesa sobre o Uso de Números para Identificar um Indivíduo Específico em Procedimentos Administrativos (Lei nº 27 de 2013).
2. Salvo nos casos expressamente permitidos na alínea (a), o Cliente não deverá processar, alterar, copiar, armazenar, utilizar, divulgar ou de qualquer outra forma tratar os Dados Pessoais Específicos dos clientes da Nium, sob qualquer forma que seja.
3. O Cliente deverá oferecer aos seus executivos, diretores, funcionários e colaboradores (incluindo trabalhadores em regime de meio período; o mesmo se aplica daqui em diante nestes Termos) treinamento sobre gestão da informação pelo menos uma vez por ano.
4. O Cliente deverá fornecer à Nium os nomes de seus executivos, diretores, funcionários ou colaboradores que lidam com os Dados Pessoais Específicos dos clientes da Nium.

3. DEVOLUÇÃO OU EXCLUSÃO DE INFORMAÇÕES APÓS O TÉRMINO DO CONTRATO DE TERCEIRIZAÇÃO

1. Após a rescisão destes Termos ou do Contrato de Prestação de Serviços e/ou do Contrato de Terceirização, aos quais o DPA faz referência, ou mediante solicitação da Nium, o Cliente deverá devolver imediatamente à Nium todas as informações fornecidas pela Nium em relação aos Serviços prestados ao Cliente — incluindo documentos, desenhos e todo tipo de informação —, bem como todas as cópias, reproduções e similares das mesmas.
2. O Cliente só poderá excluir as informações armazenadas em computadores ou outras redes mediante consentimento prévio por escrito da Nium.

4. AUDITORIAS PERIÓDICAS

1. A Nium tem o direito de realizar auditorias periódicas junto ao Cliente no que diz respeito aos métodos e sistemas de gestão da informação. O Cliente não poderá recusar tais auditorias.
2. Na auditoria prevista no parágrafo anterior, a Nium poderá instruir o Cliente a implementar medidas para evitar vazamentos de informações. O Cliente deverá providenciar prontamente tais melhorias.
3. Além do parágrafo anterior, a Nium poderá solicitar ao Cliente que apresente um relatório sobre questões relacionadas a estes Termos aproximadamente uma vez por ano.

5. SUBCONTRATAÇÃO

O Cliente poderá subcontratar uma parte dos Serviços somente mediante consentimento prévio por escrito da Nium.

6. PROIBIÇÃO DE RETIRADA

O Cliente não deverá retirar de suas instalações quaisquer Dados Pessoais Específicos dos clientes da Nium para qualquer finalidade que não seja as Finalidades Comerciais.

7. PROIBIÇÃO DE TRATAMENTO E ALTERAÇÃO

O Cliente não deverá processar nem alterar quaisquer Dados Pessoais Específicos dos clientes da Nium para qualquer finalidade que não seja uma das Finalidades Comerciais estipuladas no item 2.a.

8. TREINAMENTO DE FUNCIONÁRIOS

O Cliente deverá oferecer aos seus executivos, diretores, funcionários e colaboradores treinamento sobre o tratamento de Dados Pessoais Específicos dos clientes da Nium pelo menos uma vez por ano. Conforme previsto no parágrafo anterior, a Nium poderá solicitar ao Cliente que apresente documentos que comprovem que tal treinamento foi realizado.

9. OBRIGAÇÕES DE CONFIDENCIALIDADE

O Cliente não deverá divulgar, sem autorização, quaisquer Dados Pessoais Específicos dos clientes da Nium a terceiros.

10. RESPOSTA EM CASO DE INCIDENTE

1. Se, no âmbito dos Serviços, o Cliente descobrir ou constatar que ocorreu ou é provável que ocorra um incidente, como vazamento, desvio ou perda das Informações Pessoais Divulgadas, o Cliente deverá comunicar imediatamente tal fato à Nium e tomar medidas imediatas para evitar danos adicionais.
2. Caso o incidente descrito no parágrafo anterior não seja imputável ao Cliente, os custos razoáveis necessários para investigar o incidente e tomar medidas para evitar danos adicionais serão arcados pela Nium.
3. Caso o Cliente receba uma reclamação ou consulta do titular dos dados ou de qualquer outro terceiro a respeito das Informações Pessoais Divulgadas, a Nium e o Cliente deverão se consultar separadamente e responder.
4. Se, imediatamente após reconhecer a ocorrência ou a possibilidade de ocorrência de um incidente previsto no item 10.a. destes Termos, o Cliente comunicar à Nium, em conformidade com a Lei de Proteção de Dados Pessoais, um resumo do incidente, sua causa e as medidas para evitar a recorrência, o Cliente não terá a obrigação de comunicar o incidente à Comissão de Proteção de Dados Pessoais ou a qualquer outra autoridade.

11. DANOS

Caso o Cliente viole estes Termos por motivos a ele atribuíveis, o Cliente será responsável por indenizar a Nium pelos danos decorrentes de tal violação.

ANEXO B

Nos casos em que o Cliente trate Dados Pessoais da Nium nos termos de um Contrato de Terceirização ou de outra forma relacionada a ele, as Partes entendem e concordam que a Nium é a Controladora e o Cliente é o Processador, e que o tratamento de Dados Pessoais nos termos do Contrato de Terceirização está sujeito ao presente Apêndice B.

1. O papel do Cliente como subcontratado. A Nium é a responsável pelo tratamento e o Cliente é o subcontratado.

2. Instruções e detalhes do tratamento. Quando o Cliente tratar Dados Pessoais em nome da Nium, o Cliente deverá:

1. a menos que exigido de outra forma pelas leis aplicáveis, (e deverá tomar medidas para garantir que cada pessoa que atue sob sua autoridade também o faça) processar os Dados Pessoais exclusivamente com base e em conformidade com o presente Contrato e com o Apêndice D do Contrato de Terceirização, bem como com quaisquer outras instruções documentadas da Nium (incluindo no que se refere a quaisquer transferências para um país terceiro ou uma organização internacional), tudo conforme atualizado periodicamente mediante acordo por escrito entre as Partes (“Instruções de Processamento”);
2. caso as leis aplicáveis exijam que os Dados Pessoais sejam tratados de forma diferente daquela prevista nas Instruções de Tratamento, notifique a Nium sobre tal exigência antes de tratar os Dados Pessoais (a menos que as leis aplicáveis proíbam tal notificação por motivos importantes de interesse público).
3. notificar a Nium caso tome conhecimento de que algum dos Dados Pessoais esteja incorreto ou tenha ficado desatualizado.
4. não compartilhar os Dados Pessoais com terceiros, exceto quando expressamente autorizado pela Nium e de acordo com a Seção 3 abaixo.
5. não transferir, acessar ou tratar Dados Pessoais da Nium fora do Reino Unido e do EEE sem obter o consentimento explícito por escrito da Nium e sem ter em vigor os mecanismos legalmente exigíveis para transferências de Dados Pessoais, conforme permitido pelo RGPD em cada momento, incluindo aqueles previstos no Artigo 46 do RGPD e a implementação de regras corporativas vinculativas nos termos do Artigo 47 do RGPD.

3. Funcionários e outros responsáveis pelo tratamento de dados.

O Cliente não deverá contratar um Subcontratado para realizar quaisquer atividades de tratamento relativas aos Dados Pessoais sem notificar a Nium, solicitar o consentimento prévio por escrito da Nium e desde que o Cliente cumpra o disposto na Seção 3. Considera-se que a Nium tenha dado sua aprovação caso não tenha se oposto ao novo Subcontratado proposto no prazo de trinta (30) dias corridos a partir da data de recebimento da notificação do Cliente.

a. O Cliente deverá:

1. fornecer à Nium os detalhes de qualquer subcontratado. Qualquer subcontratado aprovado pela Nium na data deste Contrato está listado no Apêndice D do Contrato de Terceirização;
2. notificará a Nium com 30 dias de antecedência sobre qualquer alteração em um subcontratado (por meio da adição ou substituição de um subcontratado) e fornecerá as informações necessárias para permitir que a Nium decida se concorda com a alteração. A Nium terá o direito de se opor a qualquer alteração no subprocessador e, a seu critério (que não deverá ser exercido de forma injustificada), poderá optar por rescindir o Contrato ou a parte do Contrato que envolva o tratamento dos Dados Pessoais pelo subprocessador, caso o Cliente não tome as medidas sugeridas pela Nium para resolver a objeção e, de outra forma, não deixe de utilizar o subprocessador em questão;
3. antes que o Subprocessador em questão realize quaisquer atividades de tratamento relativas aos Dados Pessoais, nomear cada Subprocessador por meio de um contrato por escrito que contenha obrigações que ofereçam, em essência, o mesmo nível de proteção aos Dados Pessoais que as estabelecidas neste Contrato, incluindo a obrigação do Subprocessador de fornecer garantias suficientes para implementar medidas técnicas e organizacionais equivalentes, de acordo com a Seção 4, e de excluir ou devolver os Dados Pessoais, de acordo com a Seção 8. O contrato com o subprocessador deverá estabelecer que o cumprimento das obrigações poderá ser exigido pela Nium, inclusive caso o Cliente deixe de existir ou se torne insolvente. Mediante solicitação da Nium, o Cliente deverá fornecer uma cópia do contrato com o subprocessador. O Cliente poderá ocultar partes do texto do contrato na medida necessária para proteger informações confidenciais, incluindo quaisquer dados pessoais; e
4. notificar a Nium sobre qualquer falha por parte de um subprocessador no cumprimento de suas obrigações contratuais.

b. O Cliente deverá garantir que todas as pessoas por ele autorizadas (ou por qualquer Subcontratado) a tratar Dados Pessoais estejam sujeitas à obrigação de manter a confidencialidade desses Dados Pessoais. O Cliente deverá conceder acesso aos Dados Pessoais aos membros do quadro de funcionários “conforme a necessidade” e apenas para os fins estabelecidos no Apêndice D do Contrato de Terceirização.

c. O Cliente permanecerá integralmente responsável perante a Nium por todos e quaisquer atos e omissões de qualquer Subcontratado, bem como de quaisquer pessoas autorizadas por ele (ou por qualquer Subcontratado) a tratar Dados Pessoais, como se fossem de sua própria responsabilidade.

4. Medidas técnicas e organizacionais. O Cliente deverá implementar e manter medidas técnicas e organizacionais adequadas, de acordo com o Apêndice B, com o objetivo de:

a. garantir que o tratamento de Dados Pessoais cumpra os requisitos mínimos das Leis de Proteção de Dados (incluindo os estabelecidos no Artigo 32 do RGPD) e assegurar a proteção dos direitos dos Titulares dos Dados; e

b. prestar assistência razoável à Nium no atendimento às solicitações dos titulares de dados relacionadas a dados pessoais.

5. Informação e Auditoria.

a. O Cliente deverá manter registros escritos completos, precisos e atualizados de todas as categorias de atividades de tratamento realizadas, em conformidade com as Leis de Proteção de Dados (os “Registros”).

b. O Cliente deverá, em conformidade com as Leis de Proteção de Dados:

1. assim que for razoavelmente possível, disponibilizar à Nium as informações por ela solicitadas periodicamente, incluindo quaisquer Registros, que sejam necessárias para comprovar o cumprimento, por parte do Cliente, de suas obrigações nos termos deste Contrato e das Leis de Proteção de Dados, e deverá informar imediatamente a Nium se, em sua opinião razoável, uma instrução infringir as Leis de Proteção de Dados ou qualquer lei aplicável; e
2. permitir que a Nium (por conta própria ou por meio de um auditor independente por ela designado) inspecione, teste e audite todas as instalações, locais, equipamentos, sistemas, documentos e dados eletrônicos relacionados ao tratamento dos Dados Pessoais da Nium pelo Cliente, inclusive quando exigido por uma autoridade supervisora. Tais inspeções e auditorias deverão ser realizadas em horários razoáveis e mediante notificação prévia por escrito, salvo no caso de inspeções ou auditorias exigidas por uma autoridade supervisora, quando tal não for possível.

c. O Cliente deverá:

1. prestar total cooperação e assistência em relação a tais inspeções, testes e auditorias (sujeito a quaisquer obrigações de confidencialidade) e, mediante solicitação, fornecer cópias dos resultados de quaisquer procedimentos de testes de penetração e de segurança, bem como de relatórios de auditoria de terceiros, tais como relatórios de auditoria do tipo SOC II (caso tais relatórios estejam disponíveis); e
2. Caso a Nium identifique qualquer descumprimento do presente Contrato em decorrência de uma inspeção, teste ou auditoria, o Cliente deverá tomar as medidas que a Nium possa razoavelmente solicitar, a fim de sanar prontamente o descumprimento, sem nenhum custo adicional para a Nium.

d. Todas as Partes terão o direito de compartilhar quaisquer informações mencionadas nesta Seção D, incluindo os resultados de qualquer auditoria, com uma autoridade supervisora competente, conforme for necessário de tempos em tempos.

6. Assistência e direitos dos titulares de dados

a. O Cliente deverá manter um registro completo e preciso das Solicitações dos Titulares de Dados. Ao receber qualquer Solicitação dos Titulares de Dados, o Cliente deverá, imediatamente (e, no máximo, no prazo de 48 (quarenta e oito) horas após o recebimento), encaminhar tal Solicitação à Nium e deverá, às suas próprias custas, auxiliar prontamente a Nium com tal Solicitação, a fim de garantir que a Nium cumpra os prazos de resposta previstos nas Leis de Proteção de Dados. O Cliente não deverá responder a uma Solicitação do Titular dos Dados sem notificar previamente a Nium por escrito ou conforme exigido pelas leis aplicáveis; nesse caso, o Cliente deverá, na medida do permitido pelas leis aplicáveis, informar a Nium sobre tal exigência legal antes de responder à referida Solicitação do Titular dos Dados.

b. O Cliente deverá prestar toda a assistência que a Nium razoavelmente solicitar para garantir o cumprimento das obrigações da Nium previstas nas Leis de Proteção de Dados no que diz respeito a:

1. segurança do tratamento;
2. avaliações de impacto sobre a proteção de dados (conforme o termo é definido nas Leis de Proteção de Dados);
3. consulta prévia a uma autoridade de supervisão sobre o tratamento de dados de alto risco;
4. notificações à autoridade de supervisão e/ou comunicações aos titulares dos dados pela Nium em resposta a qualquer Incidente de Dados; e
5. qualquer medida corretiva a ser tomada em resposta a um Incidente de Dados e/ou a uma Reclamação ou solicitação relacionada às obrigações de qualquer uma das Partes nos termos das Leis de Proteção de Dados pertinentes ao Contrato.

7. Notificação de violação

a. No que diz respeito a qualquer Incidente de Dados, o Cliente deverá, sem demora injustificada, mas em nenhum caso mais tarde do que 48 (quarenta e oito) horas (ou antes, se possível) após tomar conhecimento do fato, notificar a Nium sobre o Incidente de Dados e fornecer à Nium os detalhes do Incidente de Dados, incluindo a natureza do Incidente de Dados, as categorias e o volume aproximado de titulares de dados, os registros de Dados Pessoais em questão, as consequências prováveis do Incidente de Dados e quaisquer medidas tomadas ou a serem tomadas pelo Cliente para mitigar os efeitos do Incidente de Dados. Caso, e na medida em que, não seja possível ao Cliente fornecer todas essas informações ao mesmo tempo, a notificação inicial deverá conter as informações disponíveis para o Cliente, e este deverá fornecer as informações adicionais assim que estiverem disponíveis, sem demora injustificada (mas, em nenhum caso, mais tarde do que 24 (vinte e quatro) horas após sua disponibilização).

b. O Cliente deverá, imediatamente e às suas próprias custas, investigar o Incidente de Dados e tomar medidas para identificar, prevenir e mitigar os efeitos de qualquer Incidente de Dados, bem como para corrigi-lo. O Cliente não deverá divulgar ou publicar qualquer documento, comunicação, notificação, comunicado à imprensa ou relatório referente a qualquer Incidente de Dados sem a aprovação prévia por escrito da Nium.

c. O Cliente deverá informar imediatamente a Nium (mas, em hipótese alguma, mais tarde do que 48 (quarenta e oito) horas após tomar conhecimento) caso receba ou tome conhecimento de uma Reclamação Relativa a Dados e não deverá responder à Reclamação Relativa a Dados sem a aprovação prévia por escrito da Nium.

8. Exclusão ou devolução de dados pessoais e cópias

a. O Cliente só poderá tratar os Dados Pessoais durante a vigência do Contrato de Terceirização.

b. O Cliente deverá garantir que quaisquer Dados Pessoais (e todas as cópias) sejam devolvidos com segurança à Nium ou destruídos (a critério e sob orientação da Nium), de acordo com as instruções fornecidas pela Nium (a menos que o armazenamento seja exigido pelas Leis Aplicáveis e, nesse caso, o Cliente deverá informar a Nium sobre tal exigência) nas seguintes circunstâncias:

1. na rescisão do Contrato de Terceirização ou deste Acordo de Tratamento de Dados (DPA)
2. assim que o tratamento dos Dados Pessoais não for mais necessário para as finalidades estabelecidas no Apêndice D do Contrato de Terceirização;

c. Após a destruição dos Dados Pessoais, de acordo com esta Seção 8, o Cliente deverá atestar à Nium que os Dados Pessoais em questão foram destruídos de acordo com as instruções da Nium.