Introdução ao Acordo de Processamento de Dados da Uber

A Uber exige que os seus fornecedores aceitem os termos estabelecidos no seu Acordo de Processamento de Dados ("DPA") que rege o processamento das Informações Confidenciais da Uber, incluindo os Dados Pessoais da Uber.

Os presentes Termos destinam-se a proteger a confidencialidade e a segurança das Informações Confidenciais da Uber e a permitir que a Uber cumpra os respetivos requisitos ao abrigo das leis mundiais em matéria de proteção de dados, incluindo, conforme aplicável (com base no tratamento de Dados pessoais da Uber por parte dos fornecedores), o Regulamento Geral sobre a Proteção de Dados da União Europeia ("GDPR"), a Lei Geral de Proteção de Dados Pessoais ("LGPD") do Brasil, a Privacy Act (Lei da Privacidade) da Austrália, a Digital Personal Data Privacy Act (Lei da Privacidade de Dados Pessoais Digitais) da Índia e as leis estaduais de privacidade dos EUA, incluindo a Lei da Privacidade do Consumidor da Califórnia ("CCPA").

O DPA aborda especificamente:

1. Os requisitos e limitações gerais relativos ao processamento de Informações Confidenciais da Uber pelos fornecedores, incluindo no que diz respeito à segurança de dados, incidentes de segurança de dados, avaliações e auditorias de riscos, retenção e eliminação de dados e utilização de subprocessadores.
   
2. A designação das funções desempenhadas pela Uber e pelos fornecedores no que diz respeito ao tratamento dos Dados pessoais da Uber.
   1. O DPA requer, especificamente, que as partes indiquem se cada uma está a agir como:
      1. um "Controlador" ou "Processador"
      2. uma "Empresa", "Fornecedor de Serviços", "Trabalhador Independente" ou "Terceiro", conforme a definição destes termos segundo o CCPA.
   2. O DPA também especifica as responsabilidades de cada uma das partes com base nas designações acima.

Notifique o seu contacto na Uber se tiver dúvidas relacionadas com o DPA da Uber.

ACORDO DE PROCESSAMENTO DE DADOS DA UBER

Este Acordo de Processamento de Dados ("Acordo") define os requisitos aplicáveis ao processamento de: (1) Informações confidenciais da Uber, incluindo Dados pessoais da Uber (consultar a Secção 2 abaixo); e (2) Dados pessoais da Uber (consultar a Secção 3 abaixo).

O presente Acordo faz parte do(s) acordo(s) principal(ais) entre a Uber e a empresa ou entidade ("Fornecedor") (cada um, individualmente, uma Parte, e coletivamente as "Partes") e de todos os acordos adicionais celebrados ao abrigo do mesmo (coletivamente, o "Acordo Principal").

SECÇÃO1: DEFINIÇÕES

Para além dos termos definidos abaixo, "Empresa", "Trabalhador Independente", "Venda", "Vender", "Fornecedor de serviços" e "Partilha" terão os significados definidos no CCPA/CPRA.

1. Controlador: uma pessoa singular ou coletiva que, individualmente ou em conjunto com outras, determina o propósito e os meios do processamento de dados pessoais.
2. Leis de proteção de dados: todas as leis e regulamentos aplicáveis ao tratamento de dados pessoais da Uber ao abrigo deste DPA.
   
3. Titular dos Dados: uma pessoa singular a quem os Dados Pessoais se referem.
4. Incidente de segurança de dados: qualquer acesso não autorizado, real ou razoavelmente suspeito, aquisição ou processamento ilegal de Informações Confidenciais da Uber, ou compromisso da segurança ou integridade de tais Informações Confidenciais da Uber ou de qualquer Sistema utilizado pelo Fornecedor, ou pelos seus Subprocessadores, para processar esses dados.
   
5. Eliminar: destruir, física ou naturalmente, as Informações Confidenciais da Uber para que não possam ser recuperadas.
   
6. Descoberta: qualquer situação em que o Fornecedor descobre um incidente de segurança de dados, é notificado de um incidente de segurança de dados ou teria descoberto um incidente de segurança de dados se tivesse exercido a devida diligência.
   
7. Dados Pessoais: qualquer informação relacionada com um titular de dados identificado ou identificável.
   
8. Processo: qualquer operação ou conjunto de operações realizado sobre Dados Pessoais ou sobre conjuntos de Dados Pessoais, por meios automatizados ou não, tais como a recolha, registo, organização, estrutura, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, disseminação ou outra disponibilização, ajuste ou combinação, restrição, eliminação ou destruição.
   
9. Processador: uma entidade singular ou coletiva que processa dados pessoais em nome de um controlador.
   
10. Subprocessador: um processador contratado pelo Fornecedor para processar Informações Confidenciais da Uber.
    
11. Sistema: qualquer sistema de ficheiros, sistema informático, base de dados, dispositivo, equipamento, servidor, website, aplicação, software, meios de armazenamento, rede, infraestrutura, ambiente ou domínio em rede, incluindo, mas não se limitando a, todos os ambientes de desenvolvimento, garantia de qualidade, preparação e produção .
    
12. Uber: A Uber Technologies, Inc. e qualquer subsidiária ou afiliada da Uber.
    
13. Titular dos dados da Uber: Qualquer titular de dados cujos dados pessoais da Uber sejam ou venham a ser processados pelo Fornecedor.
    
14. Dados pessoais da Uber: Dados Pessoais do titular dos dados Uber que são processados pelo Fornecedor para os fins do Acordo.
    
    Para os fins do presente Acordo, os dados pessoais da Uber não incluem o nome e as informações de contacto dos funcionários da Uber que são responsáveis por interagir com o fornecedor no âmbito do Acordo Principal, nem quaisquer dados pessoais recebidos incidentalmente pelo fornecedor como resultado dessas interações.
    
15. Informações Confidenciais da Uber: todos os dados, registos ou informações, incluindo Dados pessoais da Uber, que são detidos ou controlados pela Uber e divulgados, fornecidos ou disponibilizados ao Fornecedor pela Uber ou em nome desta, ou recolhidos, criados, mantidos ou utilizados pelo Fornecedor em nome da Uber, no âmbito dos Serviços, conforme possa ser descrito adicionalmente no Acordo.
    
16. Sistema da Uber: qualquer sistema que detenha, seja licenciado, operado ou controlado pela Uber ou ao qual a Uber tenha concedido acesso a fornecedores.

SECÇÃO 2: REQUISITOS: INFORMAÇÕES CONFIDENCIAIS DA UBER

1. Segurança dos dados: O Fornecedor deverá adotar salvaguardas físicas, administrativas, organizacionais e técnicas adequadas, bem como outras medidas de segurança, para manter a integridade, segurança e confidencialidade das Informações Confidenciais da Uber. Essas medidas incluirão, no mínimo, as estabelecidas no Anexo 1 do presente Acordo.
2. Gestor de segurança: O Fornecedor designará uma pessoa responsável por gerir e coordenar o cumprimento das obrigações do Fornecedor ao abrigo deste Acordo e por disponibilizá-las à Uber durante toda a vigência do Acordo Principal
3. Incidentes de segurança de dados
   1. Investigação. O Fornecedor deverá adotar todas as medidas razoáveis, mediante a aquando da Descoberta de um Incidente de Segurança de Dados, para investigar, total e detalhadamente, a causa, a natureza e o âmbito do compromisso de tal Incidente de Segurança de Dados, às custas do Fornecedor; corrigir e mitigar os efeitos do incidente de segurança de dados e fornecer à Uber todas as informações necessárias ou solicitadas para que a Uber cumpra as leis aplicáveis e os processos internos de resposta a incidentes de segurança de dados. A pedido da Uber, o Fornecedor deverá fornecer relatórios complementares aprofundados sobre a sua investigação e respetivas conclusões. O Fornecedor irá, às suas próprias custas, cooperar totalmente com a Uber na investigação e resposta a cada incidente de segurança de dados, incluindo permitindo o pronto acesso aos seus sistemas e/ou instalações por parte da Uber e/ou do investigador da Uber.
      
   2. Aviso à Uber. O Fornecedor notificará a Uber dentro de quarenta e oito (48) horas após a Descoberta, através do pessoal ou da equipa da Uber designada para receber notificações ao abrigo do Acordo Principal e por e-mail para vendorsecurity@uber.com. O Fornecedor incluirá nessa notificação e, posteriormente, complementará, conforme necessário:
      1. uma descrição do incidente de segurança de dados, incluindo a causa (se for possível identificá-la), a localização, a data/hora, o incidente de segurança de dados e a respetiva descoberta;
         
      2. uma descrição das medidas que o Fornecedor adotou ou que irá adotar para investigar e mitigar o impacto do Incidente de segurança de dados;
         
      3. os tipos e o volume de Informações Confidenciais da Uber afetadas, incluindo se os dados foram encriptados ou omitidos;
         
      4. o número, a localização (estado/país) e as identidades de todos os titulares de dados da Uber afetados (se aplicável), incluindo, quando exigido pelas leis de proteção de dados aplicáveis, o número de crianças, adolescentes ou idosos afetados pelos dados da Uber;
         
      5. as consequências esperadas do incidente de segurança de dados;
         
      6. uma descrição das medidas que o Fornecedor tomou, ou planeia tomar, para mitigar tais consequências e proteger ainda mais as Informações Confidenciais da Uber; e
         
      7. os planos do Fornecedor de ações corretivas em resposta ao Incidente de Segurança de Dados.
   3. Avisos de terceiros. O Fornecedor ajudará a Uber a fornecer quaisquer avisos exigidos por lei a qualquer titular de dados, entidade reguladora ou outros terceiros ("Aviso Necessário"). Neste caso, (i) a Uber terá controlo exclusivo sobre o conteúdo, o prazo e o método de distribuição do aviso, salvo indicação legal em contrário; (ii) o Fornecedor poderá enviar um Aviso obrigatório apenas após a aprovação e instruções prévias por escrito da Uber, salvo exigido pela lei aplicável (caso em que o Fornecedor fornecerá à Uber uma cópia de tal aviso assim que possível e, em todos os casos, antes da comunicação, salvo indicação legal em contrário); e (iii) o Fornecedor reembolsará a Uber todas as despesas razoáveis incorridas pela Uber relativamente a qualquer aviso, caso o Fornecedor seja total ou parcialmente responsável pelo Incidente de Segurança de Dados.
      
   4. Privacidade. O Fornecedor deverá abster-se de divulgar a existência ou informações sobre o incidente de segurança de dados no que diz respeito à Uber ou a quaisquer Informações Confidenciais da Uber, o titular dos dados da Uber ou o Sistema Uber, incluindo a qualquer autoridade governamental, sem o consentimento prévio por escrito da Uber.
      
   5. Mitigação e reparação. O Fornecedor deverá, imediatamente e sem atrasos injustificados, (i) conter todas as vulnerabilidades, atividades e outras circunstâncias que causaram ou deram origem ao incidente de segurança de dados; (ii) adotar todas as medidas corretivas necessárias e adequadas e irá cooperar, na medida do razoável, com a Uber para mitigar e retificar tal Incidente de Segurança de Dados.
      
   6. Inquéritos Públicos. O Fornecedor será responsável por gerir e responder a pedidos de informação, perguntas ou outros pedidos dos meios de comunicação social, da imprensa ou de outros membros do público ("Inquéritos Públicos") relacionados com um Incidente de Segurança de Dados. O Fornecedor deverá designar uma ou mais pessoas responsáveis pela gestão e resposta a Inquéritos Públicos e fornecer os nomes e informações de contacto de todas essas pessoas à Uber, mediante pedido.
      
4. Retenção e eliminação de dados: O Fornecedor eliminará ou devolverá imediatamente à Uber (a critério da Uber) todas as Informações Confidenciais da Uber que tenha na sua posse, custodia e controlo: (i) após a rescisão ou expiração do Acordo Principal; (ii) após a liquidação ou insolvência da atividade do Fornecedor; (iii) quando já não forem necessárias para cumprir as suas obrigações ao abrigo do Acordo Principal; ou (iv) mediante pedido da Uber.
   
5. Avaliações de riscos
   1. O Fornecedor deverá completar e ser aprovado numa avaliação de riscos de segurança da informação ("Avaliação de riscos") realizada pela Uber antes da Data efetiva.
      
      Após a avaliação de riscos inicial, o Fornecedor concluirá avaliações de riscos, conforme solicitado pela Uber, no máximo uma vez por ano ou caso (i) o Fornecedor comece a fornecer produtos ou serviços adicionais à Uber, ou a processar Informações Confidenciais adicionais da Uber, que não estivessem no âmbito durante a avaliação inicial ou mais recente, (ii) a natureza ou os fins do processamento das Informações Confidenciais da Uber se altere, (iii) o Fornecedor começar a transferir Dados pessoais da Uber dos titulares dos dados da Uber no Espaço Económico Europeu ("EEE") para fora do mesmo, ou começar a transferir Dados Pessoais da Uber para um país terceiro diferente que não estava no âmbito durante a avaliação inicial ou mais recente, (iv) o Fornecedor faça uma alteração material ao Processamento das Informações Confidenciais da Uber que possa afetar a segurança desses dados ou a capacidade do Fornecedor de cumprir este Acordo, (v) uma avaliação seja razoavelmente necessária para que a Uber cumpra as leis de proteção de dados ou outras obrigações de segurança de dados, (vi) uma avaliação seja razoavelmente necessária para que a Uber cumpra um pedido, ordem ou acordo com uma obrigação de supervisão ou outra obrigação legal, ou (vii) ocorra um incidente de segurança de dados.
      
   2. Requisitos. O Fornecedor deverá fornecer à Uber todas as informações razoavelmente necessárias para concluir a Avaliação de riscos. Estas informações podem incluir, entre outras, questionários de avaliação de riscos, políticas e procedimentos de segurança da informação, políticas e procedimentos de classificação e tratamento de dados, relatórios de conformidade ou auditoria de segurança de dados que avaliam a eficácia do programa de segurança da informação, dos sistemas, dos controlos internos e dos procedimentos relacionados com o processamento de Dados pessoais da Uber, em relação a uma estrutura aceite pela indústria, como ISO,SSAE16, SOC ou NIST e outras informações solicitadas pela Uber para avaliar o programa de segurança da informação, os controlos e o processamento de Informações Confidenciais da Uber pelo Fornecedor. Estas informações também incluem detalhes sobre o tratamento de dados pessoais da Uber pelo fornecedor, incluindo os tipos de dados, as finalidades do tratamento, o tipo e o número de titulares dos dados Uber, o local do tratamento, dos subprocessadores e a retenção dos dados. Podem ser fornecidas à Uber cópias das políticas, procedimentos ou outros documentos do Fornecedor ou apresentados através de uma aplicação de partilha de ecrã previamente acordada.
      
   3. Registos de auditoria. O Fornecedor deverá manter registos de auditoria e registos dos sistemas de informação, incluindo registos de aplicações, registos de acesso, registos de autenticação, registos de rede, registos de dispositivos de utilizadores finais e registos do sistema de segurança, na medida do necessário para permitir a monitorização, análise, investigação e comunicação atividade do Sistema ilegal, não autorizada ou inadequada e garantir que as ações de utilizadores individuais do Sistema de Informação possam ser atribuídas de forma única a esses utilizadores, para que possam ser responsabilizados pelas suas ações e para permitir investigações adequadas de incidentes de segurança de dados.
6. Auditorias.
   1. Auditorias. O Fornecedor permitirá à Uber, através de comunicação escrita, com antecedência razoável e durante o horário de funcionamento, a realização de uma auditoria, às suas próprias custas, às instalações, redes, sistemas, procedimentos do Fornecedor, ao processamento de Informações Confidenciais da Uber e à conformidade com este Acordo. A Uber não pode exercer este direito mais de uma vez por ano, exceto quando tiver ocorrido um incidente de segurança de dados ou quando for necessário cumprir leis de proteção de dados ou outras obrigações legais.
   2. Requisitos de auditoria. O Fornecedor cooperará, na medida do razoável, com as auditorias descritas no parágrafo anterior, fornecendo acesso a pessoal especializado, instalações físicas, conforme aplicável, documentação, infraestruturas e qualquer software de aplicação que processe Informações Confidenciais da Uber ou que tenha acesso às instalações, redes, sistemas e procedimentos da Uber . A Uber será responsável pelos custos e despesas com tal auditoria (ou pelas taxas e custos da entidade terceira que realize a auditoria), a menos que tal auditoria revele, ou tenha sido iniciada devido a, uma violação material do Acordo Principal, incluindo este Acordo, em caso em que o Fornecedor irá reembolsar a Uber por tais custos e despesas. O Fornecedor abordará e corrigirá imediatamente todas as deficiências identificadas nessa auditoria.
7. Subprocessadores
   1. Subprocessadores permitidos. O Fornecedor NÃO permitirá que qualquer Subprocessador processe Informações Confidenciais da Uber, exceto as identificadas durante uma avaliação de riscos. Se o Fornecedor tentar contratar qualquer outro subprocessador, deverá notificar a Uber, incluindo sobre as finalidades para as quais irá processar as Informações Confidenciais da Uber, pelo menos 30 dias antes de qualquer processamento. Se a Uber não se opuser a tal contratação, considerar-se-á que a Uber a aprovou.
      
   2. Obrigações do subprocessador. O Fornecedor celebrará, antes do seu Processamento de Informações Confidenciais da Uber e com cada Subprocessador, um acordo que imponha obrigações que não sejam menos restritivas e que sejam, pelo menos, tão protetoras das Informações Confidenciais da Uber como as impostas ao Fornecedor ao abrigo deste Acordo. A Uber pode pedir uma cópia de tal acordo e pode recusar o consentimento para a utilização de tal Subprocessador se o Fornecedor não fornecer o acordo mencionado ou se o mesmo não contiver proteção suficiente das Informações Confidenciais da Uber. O Fornecedor poderá ocultar informação de tal acordo antes de o partilhar com a Uber, na medida do necessário para proteger os respetivos segredos comerciais ou informações confidenciais.
      
   3. Cumprimento das leis de proteção de dados pelo subprocessador. O Fornecedor é responsável por garantir o cumprimento das Leis de Proteção de Dados aplicáveis por parte dos Subprocessadores no que diz respeito ao Processamento de Dados Pessoais da Uber pelos mesmos.
      
   4. Responsabilidade. A utilização de Subprocessadores pelo Fornecedor não afeta nem limita a responsabilidade do Fornecedor ao abrigo deste Acordo.
8. Indemnizações: Salvo disposição em contrário no Acordo Principal, a Empresa aceita indemnizar, defender e isentar de responsabilidade a Uber, os seus diretores, executivos, colaboradores e agentes de e contra toda e qualquer perda, danos, taxas e despesas decorrentes de quaisquer reclamações devido a, decorrentes de, ou de qualquer forma relacionado com a perda, alteração ou utilização indevida dos Dados pessoais da Uber por parte da Empresa, o acesso não autorizado a, destruição ou divulgação dos Dados pessoais da Uber ou a violação da Empresa da Secção 4 deste DPA.
9. Restrição de transferência de volume dos EUA. Dados pessoais confidenciais
   1. Definições: Para os fins desta Secção 2.8:
      1. os termos "Acesso", "Volume" "Volume dos EUA" "Dados pessoais sensíveis", "País de preocupação", "Transação de dados cobertos", "Pessoa coberta", "Intermediação de dados", "Dados relacionados com o governo", "Dados pessoais sensíveis" e "Pessoa dos EUA" terão os significados que lhes são atribuídos na Regra de Dados Confidenciais do Departamento de Justiça dos EUA, 28 CFR, parte 202;
         
      2. "Dados Cobertos" referir-se-á a " Dados pessoais sensíveis em volume dos EUA" e/ou "Dados relacionados com o governo".
         
      3. "Entidade coberta" referir-se-á a qualquer "Pessoa coberta" ou "País de preocupação".
   2. Caso seja fornecido acesso aos dados cobertos ao fornecedor, no âmbito do Acordo Principal, o fornecedor declara e garante que:
      1. não é uma entidade coberta.
         
      2. não se envolverá em nenhuma Transação de Dados Cobertos que envolva a mediação de dados com uma Entidade Coberta.
         
      3. a menos que expressamente permitido pela Uber ou, caso contrário, permitido pelo 28 CFR parte 202, (A) não permitirá que nenhuma Entidade Coberta aceda a tais Dados Cobertos; e (B) proibirá qualquer Subprocessador de fornecer o Acesso aos Dados Cobertos a qualquer Entidade Coberta.
         
      4. Não contornará, nem tentará contornar, estratégias de encriptação, ocultação, anonimização ou melhoria da privacidade ou controlos de segurança implementados pela Uber no âmbito do 28 CFR, parte 202.
         
      5. fornecerá à Uber todas as informações razoavelmente solicitadas por esta no âmbito da conformidade com esta Secção 2.8 ou com o 28 CFR parte 202, incluindo no âmbito de qualquer investigação realizada pela Uber.
         

SECÇÃO 3: REQUISITOS: DADOS PESSOAIS DA UBER

1. Função das Partes: Salvo disposição em contrário do Acordo Principal, as partes reconhecem e concordam que a Uber é o Controlador dos Dados Pessoais da Uber processados no âmbito do Acordo Principal^[1], e que o Fornecedor é um Processador e/ou Fornecedor de Serviços relacionado com tal processamento.
2. Requisitos gerais: O Fornecedor reconhece e concorda que:
   1. Compreende e cumprirá todos os requisitos das leis de proteção de dados aplicáveis no que diz respeito ao tratamento de dados pessoais da Uber.
   2. Irá notificar a Uber se determinar que já não pode cumprir as suas obrigações ao abrigo das Leis de proteção de dados aplicáveis, salvo indicação em contrário por lei. Ao receber este aviso, a Uber poderá tomar medidas razoáveis e apropriadas para cessar o Processamento dos Dados pessoais da Uber pelo Fornecedor e corrigir quaisquer riscos para os titulares dos dados Uber resultantes de tal processamento. O Fornecedor irá, de forma razoável, ajudar a Uber em relação a tais passos (incluindo, se aplicável, cessar o Processamento).
      
   3. Não alugará, venderá, partilhará, divulgará, combinará com outros dados ou processará os dados pessoais da Uber para qualquer fim, exceto quando necessário para cumprir as suas obrigações ao abrigo do Acordo Principal, salvo acordo em contrário, escrito pelas partes.
      
   4. Não tentará reidentificar qualquer titular de dados da Uber utilizando dados não identificados fornecidos ao ou recolhidos pelo Fornecedor.
      
   5. Não permitirá que nenhum colaborador do Fornecedor processe Dados pessoais da Uber, exceto nos casos em que o colaborador em questão tenha concordado em manter a confidencialidade dos Dados pessoais da Uber ou nos casos em que esses colaboradores sejam obrigados por lei a manter a confidencialidade dos Dados pessoais da Uber.
3. Requisitos do processador/fornecedor de serviços/trabalhador independente: Se o Fornecedor for designado como Processador, Fornecedor de Serviços ou Trabalhador Independente no Acordo Principal, deverá, relativamente a quaisquer Dados Pessoais da Uber processados de acordo com essa designação:
   
   1. Se for designado Processador e/ou Fornecedor de Serviços, (a) processar, apenas, os Dados pessoais da Uber nas capacidades indicadas nas instruções escritas pela Uber, exceto quando exigido por lei; e (b) não copiar nem reproduzir os Dados pessoais da Uber para os seus próprios fins ou de qualquer subprocessador ou terceiros, incluindo para fins de formação, desenvolvimento ou aperfeiçoamento de modelos de aprendizagem automática, sistemas de inteligência artificial ou tecnologias semelhantes.
      
   2. Ajudar a Uber, dentro do razoável e apropriado, no contexto do tratamento de dados pessoais pelo fornecedor, a:
      1. cumprir as obrigações da Uber ao abrigo dos artigos n.º 32.º a 36.º do RGPD, conforme aplicável, ou obrigações análogas ao abrigo de outras leis de proteção de dados aplicáveis; e
         
      2. demonstrar conformidade com as leis de proteção de dados aplicáveis, incluindo, conforme aplicável, o artigo n.º 28.º do RGPD.
         
   3. Permitir que a Uber tome medidas razoáveis e apropriadas para garantir que o Fornecedor utiliza os Dados pessoais da Uber de forma consistente com as respetivas obrigações ao abrigo das Leis de proteção de dados aplicáveis, e que impeça e corrija a utilização não autorizada dos Dados pessoais da Uber.
      
   4. A menos que exigido por lei, notificar prontamente a Uber de qualquer pedido de um titular dos dados da Uber, ou de um organismo governamental ou regulador com autoridade sobre o Fornecedor ou sobre a Uber, relacionado com o processamento de dados pessoais da Uber pelo Fornecedor, e cooperar com a Uber em relação a qualquer resposta a tal pedido ou exigência.
4. Requisitos de controlador: se o fornecedor for designado como controlador no Acordo principal, reconhece e concorda que:
   1. É um responsável pelo tratamento de dados pessoal da Uber independente ao abrigo das leis de proteção de dados.
      
   2. Irá determinar os fins e os meios do seu tratamento dos dados pessoais da Uber.
      
   3. É responsável pelo seu próprio cumprimento das Leis de proteção de dados aplicáveis, incluindo no que diz respeito à notificação dos titulares dos dados do tratamento que faz dos respetivos dados pessoais e como podem exercer os respetivos direitos, bem como pela obtenção dos consentimentos necessários.
      
   4. Deverá cumprir as obrigações aplicáveis ao abrigo da Lei de proteção de dados no que diz respeito ao tratamento de Dados pessoais da Uber.
5. Transferências transfronteiriças: Se o Processamento de Dados Pessoais pelo Fornecedor envolver a transferência de Dados Pessoais de titulares dos Dados Uber:
   1. Deve cumprir todas as leis de proteção de dados aplicáveis a tais transferências.
      
   2. Na medida do possível, com base na localização dos titulares dos dados da Uber cujos dados pessoais serão transferidos, cumprir os requisitos estabelecidos no Anexo 2 do presente Acordo.

SECÇÃO 4: DIVERSOS

1. Data efetiva: O presente Acordo entra em vigor na data de execução do Acordo Principal.
2. Rescisão e Vigência: Sem prejuízo disposição em contrário no Acordo Principal, este Acordo e todas as suas disposições permanecerão em vigor enquanto e na medida em que o Fornecedor Processe ou mantenha Informações Confidenciais da Uber.
   
3. Não cumprimento. O Fornecedor deverá informar imediatamente a Uber caso não consiga cumprir este Acordo. Se o Fornecedor não conseguir cumprir, dentro de um período razoável, ou se o Fornecedor violar substancial ou persistentemente o presente Acordo ou as suas obrigações decorrentes do presente Acordo, a Uber terá o direito de rescindir o presente Acordo e o Acordo Principal no que diz respeito ao processamento de Informações Confidenciais da Uber, desde que, no entanto, qualquer violação da Secção 2.9 constitua uma violação material e a Uber tenha o direito de rescindir imediatamente o Acordo Principal.
4. Cláusula de ineficácia. Caso disposições individuais do presente Acordo sejam ou se tornem ineficazes, a eficácia das restantes disposições não será afetada. As partes deverão substituir a cláusula ineficaz por uma cláusula legalmente permitida, que realize o mais próximo possível da intenção comercial pretendida.
   
5. Conflitos. Em caso de conflito entre este Acordo: (i) e o Acordo Principal, este Acordo prevalecerá; e (b) um Acordo de Associado Comercial ("AAC") de acordo com a HIPAA entre a Uber e o Fornecedor, o AAC prevalecerá.
   
6. Lei aplicável e jurisdição. Aplicam-se ao presente Acordo a lei e a jurisdição aplicáveis, conforme estabelecidos no Acordo Principal.

ANEXO 1
Medidas organizacionais/administrativas, físicas e técnicas

1. Medidas organizacionais/administrativas: O Fornecedor implementou, irá manter e atualizar, conforme apropriado, ao longo do seu processamento de Informações Confidenciais da Uber (contanto que tais atualizações não reduzam ou degradem as garantias utilizadas para proteger as Informações Confidenciais da Uber):
   1. Um programa abrangente de segurança da informação e de rede, composto por políticas, práticas e procedimentos que regem os serviços (coletivamente, o "Programa de segurança de dados") que (i) cumpra as melhores práticas atuais, (ii) cumpra com todas as leis de proteção de dados aplicáveis, (iii) na medida do aplicável, esteja em conformidade com as Payment Card Industry Data Security Standards (PCI DSS), (iv) esteja em conformidade ou está alinhado com as normas de segurança ISO 27000, NIST 800-53, CIS top 20 ou HITRUST e (v) na medida do aplicável, esteja em conformidade com a Regra de Dados Confidenciais do Departamento de Justiça dos EUA, 28 CFR, parte 202. O Fornecedor deverá disponibilizar à Uber documentação sobre o seu Programa de Segurança de Dados, mediante pedido.
   2. Um programa documentado de prevenção de perda de dados, concebido para detetar, prevenir e mitigar o risco de incidentes de segurança de dados, que deve incluir, no mínimo:
      1. políticas adequadas e controlos técnicos concebidos para evitar a perda de Informações Confidenciais da Uber; e
      2. um plano de recuperação de desastres/continuação do negócio que aborda o acesso, manutenção e armazenamento contínuos de Informações Confidenciais da Uber, bem como as necessidades de segurança para sites de apoio e redes de comunicação alternativas.
   3. Políticas e procedimentos para limitar o acesso às Informações Confidenciais da Uber às pessoas que necessitem desse acesso para desempenhar as suas funções e responsabilidades, conforme referido no Acordo Principal.
   4. Procedimentos para verificar todos os direitos de acesso através de métodos de autenticação eficazes.
   5. Um processo para realizar avaliações de riscos de segurança da informação, pelo menos, uma vez a cada dois anos, de quaisquer Fornecedores, Processadores ou Subprocessadores com acesso a Informações Confidenciais da Uber. Os processadores/subprocessadores terão controlos de segurança da informação não menos protetores das Informações Confidenciais da Uber do que os requisitos deste Acordo. A Uber pode pedir uma cópia da avaliação de riscos que o Fornecedor realizou a qualquer Subprocessador e pode recusar o consentimento para a utilização de tal Subprocessador se a avaliação revelar que este não tem controlos de segurança da informação suficientes para proteger as Informações Confidenciais da Uber.
   6. Um programa de sensibilização para a segurança para a força de trabalho do fornecedor, que inclui formação regular sobre tópicos de segurança da informação, como tratamento seguro de dados, proteção de palavras-passe e credenciais, engenharia social e como identificar e comunicar potenciais incidentes de segurança.
   7. Um programa contínuo de gestão de vulnerabilidades que utiliza um processo de classificação de risco padrão da indústria para priorizar a correção de vulnerabilidades descobertas. Se for detetada uma vulnerabilidade que possa afetar a confidencialidade, disponibilidade ou integridade das Informações Confidenciais da Uber, o Fornecedor deverá fornecer, assim que pedido, provas suficientes para demonstrar que a vulnerabilidade foi corrigida e permitir que a Uber determine se ocorreu um incidente de segurança de dados.
   8. Um programa de gestão segura de ativos que aplica uma linha de base de segurança padrão da indústria, incluindo a classificação de ativos e o inventário de dispositivos/ sistemas onde as Informações Confidenciais da Uber são processadas.
   9. Processos formais e escritos para detetar, identificar, comunicar, responder a, mitigar e remediar incidentes de segurança de dados em tempo útil, que incluirão processos para a força de trabalho do Fornecedor, incluindo os administradores de sistema, para comunicarem eventos anómalos à equipa de tratamento de incidentes e o Fornecedor para notificar as pessoas e entidades afetadas, reguladores e outros membros do público, quando necessário ou exigido.
   10. Simulações de incidentes, como exercícios teóricos de simulação ou de simulação de ataques (red teaming), que são planeados e realizados de forma recorrente.
   11. Um programa estabelecido de testes de penetração que inclui um âmbito completo de ataques combinados, tais como ataques baseados no cliente e em aplicações web.
   12. Um programa de ação governativa e gestão de riscos para os serviços em nuvem, para que sejam ativadas as configurações e as proteções de segurança de base.
   13. Certifique-se de que mantém práticas de código seguras e adequadas à linguagem de programação em utilização e de que fornece formação a todo o pessoal na redação de códigos seguros.
   14. Uma política de acesso a dados de uma agência governamental que recuse o acesso do governo aos dados, exceto quando esse acesso for exigido por lei ou quando houver um risco eminente de danos graves às pessoas.
   15. Políticas e procedimentos para avaliar a base legal para e responder a pedidos de dados de agências governamentais.
   16. Formação específica do pessoal responsável pela gestão dos pedidos de acesso a dados pelas agências governamentais, que pode incluir requisitos ao abrigo das Leis de Proteção de Dados aplicáveis.
   17. Processos para documentar e registar os pedidos de dados pelas agências governamentais, a resposta fornecida e as autoridades governamentais envolvidas.
   18. Procedimentos para notificar a Uber de qualquer pedido ou requisito para que as agências governamentais acedam a dados, salvo proibição legal.
2. Medidas de segurança física
   1. O Fornecedor implementou, irá manter e atualizar, conforme apropriado, durante o seu Processamento de Informações Confidenciais da Uber, medidas de segurança física adequadas para qualquer instalação utilizada para Processar Informações Confidenciais da Uber e monitorizar continuamente quaisquer alterações à infraestrutura física, ao negócio e às ameaças conhecidas.
3. Medidas técnicas de segurança: O Fornecedor deverá, ao longo do processamento de Informações Confidenciais da Uber:
   1. realizar verificações e avaliações de vulnerabilidade nas aplicações e na infraestrutura utilizadas para processar as Informações Confidenciais da Uber.
   2. proteger as suas redes eletrónicas utilizando vários níveis de controlos de acesso, incluindo a autenticação de vários fatores, para se proteger contra acessos não autorizados.
   3. restringir o acesso através de mecanismos como, mas não se limitando a, gestão de aprovações, controlos robustos, registo e monitorização de eventos de acesso e auditorias subsequentes.
   4. implementar e manter registos de eventos em todos os sistemas que processam Informações Confidenciais da Uber suficientemente detalhados para permitir ao Fornecedor determinar se ocorreu um Incidente de Segurança de Dados e as prováveis consequências do Incidente de Segurança de Dados, incluindo, entre outras, se as Informações Confidenciais da Uber foram acedidas, adquiridas, modificadas ou eliminadas. Estes registos de eventos devem ser mantidos durante, pelo menos, treze (13) meses e disponibilizados à Uber, mediante pedido, no prazo de sete (7) dias consecutivos após o pedido. Se os registos contiverem informações de eventos relacionados com outras entidades ou clientes, o Fornecedor tem de ser capaz de separar os dados do registo de eventos da Uber quando solicitado.
   5. identificar outros sistemas e aplicações de computador que garantam a monitorização e o registo de eventos de segurança e mantenha, de forma razoável, os ficheiros de registo.
   6. rever e analisar registos de eventos utilizando processos contínuos e automatizados de monitorização e alerta para detetar, responder e investigar eventos e atividades anómalos.
   7. utilizar um software comercial de verificação de vírus/malware atualizado, padrão da indústria, que identifica código malicioso em todos os seus sistemas que processam Informações Confidenciais da Uber.
   8. impor limites de rede e proteções entre as redes.
   9. encriptar as Informações Confidenciais da Uber em trânsito.
   10. encriptar as Informações Confidenciais da Uber em inatividade e gerir e proteger, em exclusivo, todas as chaves de encriptação (ou seja, nenhum terceiro terá acesso a estas chaves de encriptação, incluindo Processadores ou Subprocessadores).

ANEXO 2
Transferências transfronteiriças

Salvo acordo em contrário das partes, este Anexo 2 define os mecanismos que as Partes utilizarão para permitir transferências transfronteiriças de Dados Pessoais, quando exigido pelas Leis de Proteção de Dados. Especificamente, na medida em que os Serviços exijam a transferência de Dados Pessoais de Titulares de Dados Uber nos seguintes países. As Partes concordam com o seguinte:

1. EEE ou na Suíça. Se os serviços do Fornecedor envolverem transferências dos Dados Pessoais de titulares de dados da Uber no EEE ou na Suíça para um país ou território fora destas regiões, que não tenha sido reconhecido pela Comissão Europeia como fornecendo um nível adequado de proteção de dados, as partes irão incorporar neste Acordo e aceitam cumprir as Cláusulas Contratuais-tipo de 4 de junho de 2021 ("SCC"), aprovadas pela Comissão Europeia, salvo estipulação em contrário pelas partes no presente Acordo. Se as SCC estiverem incorporadas:
   1. o Módulo 1 (de controlador para controlador) aplicar-se-á se o fornecedor for designado como controlador;
   2. o Módulo 2 (do Controlador para o Processador) aplicar-se-á se o Fornecedor for designado como Processador;
   3. A cláusula opcional de Ancoragem (Cláusula 7) não se aplicará;
   4. A linguagem facultativa contida na Cláusula 11 (Reparação) não se aplicará;
   5. A lei aplicável para os fins da Cláusula 17 (Lei aplicável) será a lei dos Países Baixos;
   6. Os tribunais ao abrigo da Cláusula 18 (Escolha do foro e jurisdição) serão os tribunais dos Países Baixos, salvo acordado em contrário pelas partes no Acordo Principal; e
   7. A autoridade supervisora competente para fins da Cláusula 13 (Supervisão) das SCC é a Autoridade Holandesa de Proteção de Dados (Autoriteit Persoonsgegevens), salvo acordo em contrário pelas partes no Acordo Principal.
   8. As partes declaram que não acreditam que as leis e as práticas de qualquer país para o qual os Dados pessoais da Uber sejam transferidos para efeitos do Acordo Principal impeçam o Fornecedor de cumprir as suas obrigações ao abrigo dos SCC.
   9. Em vez do Anexo 1 das SCC, as partes concordam que:
      1. A identidade e os dados de contacto da Uber, como exportador de dados, e do Fornecedor, como importador de dados, são os especificados no Acordo Principal e no presente Acordo.
         
      2. A natureza e as finalidades do processamento são para os Serviços ou para outros especificados no Acordo Principal ou no presente Acordo.
      3. Os Dados pessoais da Uber transferidos serão retidos pelo Fornecedor, conforme especificado no Acordo Principal ou neste Acordo.
      4. As categorias de titulares de dados da Uber e dos dados pessoais da Uber transferidos são as documentadas na avaliação de riscos realizada antes do processamento dos dados pessoais da Uber.
      5. Em vez do Anexo 2 das SCC, as partes concordam em cumprir o Anexo 1 do presente Acordo.
      6. Em vez do Anexo 3 das SCC (se aplicável), as partes concordam que os subprocessadores autorizados de dados pessoais da Uber são os identificados na avaliação de riscos realizada antes do processamento de dados pessoais da Uber, ou conforme especificado de outra forma neste Acordo ou Acordo Principal.
2. Reino Unido: Se os serviços do Fornecedor envolverem transferências de Dados Pessoais de titulares de dados da Uber no Reino Unido para uma jurisdição que não forneça um nível adequado de proteção de dados, as SCC deverão ser aplicadas, sob reserva dos termos da "Adenda do Reino Unido às Cláusulas Contratuais-tipo da UE", emitido pelo Information Commissioner’s Office ao abrigo da s.119A da Lei de Proteção de Dados do Reino Unido de 2018 ("Adenda do Reino Unido"). Tal Adenda do Reino Unido será considerada celebrada entre o Fornecedor e a Uber, sujeita à Secção 3.5(b) do presente Acordo, conforme apropriado.
3. Brasil: Se o Processamento de Dados Pessoais pelo Fornecedor envolver a transferência transfronteiriça de Dados pessoais da Uber de titulares dos dados da Uber no Brasil, seja entre as partes ou para terceiros, o Fornecedor deverá garantir o cumprimento de todas as leis de proteção de dados aplicáveis, incluindo a adoção de mecanismos legais adequados, tais como as cláusulas padrão contratuais ou outros instrumentos legalmente exigidos, e deve garantir que o processamento oferece, no mínimo, o mesmo nível de proteção e salvaguardas para os dados pessoais, conforme estabelecido neste Acordo.
   1. Transferências transfronteiriças entre as partes de dados pessoais de titulares dos dados da Uber no Brasil. Se o Processamento de Dados Pessoais envolver a transferência transfronteiriça entre as Partes de Dados Pessoais da Uber dos titulares dos dados da Uber no Brasil para um país ou território que não tenha sido reconhecido pela autoridade competente como fornecendo um nível adequado de proteção de dados, as partes, por este meio, incorporam, como se estivessem contidas na totalidade no presente acordo e aceitam cumprir as Cláusulas Padrão Contratuais do Brasil contidas no Anexo II da Resolução n.º 19 de 2024, emitida pela Agência Nacional de Proteção de Dados do Brasil ("SCC do Brasil"), disponíveis em: Cláusulas Padrão Contratuais do Brasil. Em tais casos:
      1. Para efeitos de qualquer transferência transfronteiriça de Dados Pessoais, a Uber, ou qualquer uma das suas Afiliadas, será considerada o Agente de Processamento de Dados.
      2. As tabelas informativas contidas na Cláusula 1.1 das SCC do Brasil serão substituídos pelas qualificações e informações de contacto da Uber e do Fornecedor, conforme estabelecido no Acordo Principal, no presente Acordo e no Aviso de privacidade de cada parte.
      3. Para os fins das caixas de verificação estabelecidas na Cláusula 1.1 dos SCC do Brasil, no que diz respeito às funções das partes, a caixa de verificação "Exportador/Controlador" será considerada selecionada para a Uber. Para o Fornecedor, a caixa de verificação "Importador" que corresponde à classificação do Fornecedor ao abrigo da Cláusula 3.1 do presente Acordo ("Papel das Partes") ou conforme estabelecido no Acordo Principal será considerada selecionada.
      4. As partes concordam que: (i) o objetivo principal da transferência transfronteiriça de Dados pessoais da Uber é a execução dos serviços, conforme especificado no Acordo Principal ou no presente Acordo; (ii) os Dados Pessoais da Uber transferidos serão retidos conforme especificado no Acordo Principal ou no presente Acordo, em conformidade com a Lei de proteção de dados aplicável e o Aviso de privacidade de cada parte; e (iii) as categorias de titulares de dados Uber e os respetivos Dados pessoais Uber transferidos são os documentados na avaliação de riscos realizada antes do tratamento de tais dados pessoais. Estas informações substituem a tabela de descrição de transferência de dados contida na Cláusula 2.1 das SCC do Brasil.
      5. Para os fins da Cláusula 3.1 das SCC do Brasil, que trata das transferências futuras, as partes concordam que a Opção A se aplica aos casos em que ambas as partes atuam como Controladores. Caso o Fornecedor atue como Processador, aplicar-se-á a Opção B e o quadro descritivo estabelecido na Cláusula 3.1 é substituído pela Avaliação de riscos realizada antes do Processamento dos Dados Pessoais da Uber pelo Fornecedor ou conforme estabelecido no Acordo Principal.
      6. Para os fins da Cláusula 4.1 das SCC do Brasil, que trata das Responsabilidades das Partes, as Partes concordam que se aplica a Opção A e que tanto o Exportador como o Importador são responsáveis pelo cumprimento das obrigações estipuladas nas secções "a", "b" e "c", em que ambas as partes atuam como Controladores. Quando o Fornecedor atuar como Subcontratante, tais obrigações serão da exclusiva responsabilidade da Uber.
      7. A tabela contida na Secção III das SCC do Brasil é substituída pelo Anexo 1 do presente Acordo.
   2. Arábia Saudita. Se o Processamento de Dados Pessoais pelo Fornecedor envolver a transferência dos Dados pessoais da Uber dos titulares dos dados da Uber na Arábia Saudita para um país ou território que não tenha sido reconhecido pela autoridade competente como fornecendo um nível adequado de proteção de dados, as partes incorporam e concordam cumprir as Cláusulas Contratuais Normalizadas para a Transferência de Dados Pessoais, versão 1.0 de setembro de 2024 ("KSA SCCs"), aprovadas pela Autoridade Saudita de Dados e IA (SDAIA), salvo acordado em contrário pelas partes no presente Acordo. Se as SCC estiverem incorporadas:
      1. Modelo 1: (de controlador para controlador) aplicar-se-á se o Fornecedor for designado como controlador;
      2. Modelo 2: (de Controlador para Processador) aplicar-se-á se o Fornecedor for designado como Processador;
      3. A lei aplicável para os fins da Cláusula 8 (Lei e Jurisdição Aplicáveis) será a lei do Reino da Arábia Saudita. Qualquer litígio decorrente da aplicação do disposto nestas Cláusulas será abrangido pela jurisdição do Reino e delegado aos seus tribunais;
      4. A autoridade competente para os fins da Cláusula 9 (Conformidade com os Pedidos da Autoridade Competente) é a Autoridade Saudita de Dados e IA (SDAIA);
      5. As partes declaram que não acreditam que as leis e as práticas de qualquer país para o qual os Dados Pessoais da Uber são transferidos para fins do Acordo Principal impeçam o Fornecedor ("o Importador de Dados Pessoais") de cumprir as suas obrigações ao abrigo das SCC da Arábia Saudita;
      6. Para efeitos do Anexo 1, as informações das partes são as que constam no presente Acordo e no Acordo Principal. A Uber é designada como exportador de dados pessoais e controlador dos dados pessoais dos titulares dos dados da Uber, enquanto o fornecedor é designado como importador dos dados pessoais dos dados pessoais dos titulares dos dados da Uber, no desempenho da função especificada na Cláusula 3.1 "Papel das partes" deste Acordo;
      7. Para efeitos do Anexo 2, as partes concordam que;
         1. As categorias de titulares de dados da Uber e dos dados pessoais da Uber transferidos são as documentadas na avaliação de riscos realizada antes do processamento dos dados pessoais da Uber.
         2. O(s) objetivo(s) da transferência são para os Serviços ou de outra forma especificados no Acordo Principal ou no presente Acordo.
         3. Os Dados pessoais da Uber transferidos serão retidos pelo Fornecedor, conforme especificado no Acordo Principal ou no presente Acordo.
         4. Em vez do Anexo 3 das SCC da Arábia Saudita, as partes concordam em cumprir o Anexo 1 do presente Acordo.

1. Consulte o Aviso de privacidade da Uber para obter uma determinação dos controladores de Informações Confidenciais da Uber na sua região. Quando uma entidade, que não seja o controlador de dados designado, celebre o presente Acordo em nome da Uber, está autorizada a fazê-lo pelo(s) controlador(es) de dados relevante. A Uber reserva-se o direito de nomear outra afiliada da Uber como Controlador de Dados para os fins do presente Acordo. ↑