Jurídico

Contrato de Processamento de Dados

Versão 8 – Data de lançamento: 29 de outubro de 2025

Este Contrato de Processamento de Dados (este “DPA“) faz parte e está sujeito ao contrato de serviços subjacente (o “Contrato Principal“) entre a entidade Sinch (“Sinch”) e a entidade cliente (“Cliente”) que celebraram esse Contrato Principal para a prestação de Serviços da Sinch ao Cliente. Este DPA se aplica à Sinch e ao Cliente e suas respectivas afiliadas. As partes deste DPA são idênticas às partes do Contrato Principal.

Definições. Para os fins deste DPA, os termos em letras maiúsculas terão os seguintes significados. Os termos em letras maiúsculas não definidos de outra forma terão o significado que lhes é atribuído no Contrato Principal.
1. “Dados Pessoais do cliente” significam quaisquer dados pessoais que sejam processados pela Sinch em nome do cliente para executar os Serviços nos termos do Contrato Principal.
2. “Leis de Proteção de Dados Aplicáveis” significa o GDPR, conforme transposto para a legislação nacional de cada Estado-Membro (e do Reino Unido) e conforme alterado, substituído ou revogado de tempos em tempos, e as leis que implementam, substituem ou complementam o GDPR e todas as leis aplicáveis ao processamento dos Dados Pessoais do cliente, incluindo a Lei de Direitos de Privacidade do Consumidor da Califórnia de 2020, que altera a Lei de Privacidade do Consumidor da Califórnia de 2018 Cal. Civ. Código § 1798.100 et seq (“CCPA”).
3. “GDPR” significa o Regulamento Geral de Proteção de Dados (UE) 2016/679 sobre a proteção de pessoas físicas com relação ao processamento de dados pessoais e à livre circulação desses dados.
4. “Infraestrutura da Sinch” significa (i) as instalações físicas da Sinch; (ii) infraestrutura de nuvem hospedada; (iii) a rede corporativa da Sinch e a rede interna não pública, software e hardware necessários para fornecer os Serviços e que são controlados pela Sinch; em cada caso, na medida em que forem usados para fornecer os Serviços.
5. “Transferência Restrita” significa uma transferência dos Dados Pessoais do cliente da Sinch para um subprocessador em que tal transferência seria proibida pelas Leis de proteção de dados aplicáveis (ou pelos termos dos acordos de transferência de dados estabelecidos para tratar das restrições de transferência de dados das Leis de proteção de dados aplicáveis) na ausência de salvaguardas apropriadas exigidas para tais transferências sob as Leis de proteção de dados aplicáveis.
6. “Serviços” significam os serviços fornecidos ao cliente pela Sinch de acordo com o Contrato Principal.
7. “Cláusulas Contratuais Padrão” significa a versão mais recente das cláusulas contratuais padrão para a transferência de dados pessoais para processadores estabelecidos em países terceiros sob o GDPR (a versão atual na data deste DPA é a anexada à Decisão da Comissão Europeia 2021/914 (UE) de 4 de junho de 2021).
8. “Adendo do Reino Unido” significa o Adendo do Reino Unido (Adendo de Transferência Internacional de Dados para as Cláusulas Contratuais Padrão da Comissão da UE) estabelecido em https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf
9. Os termos “consentimento“, “controlador“, “titular dos dados“, “Estado Membro“, “dados pessoais“, “violação de dados pessoais“, “processador“, “subprocessador”, “processamento“, “autoridade supervisora” e “terceiro” terão os significados atribuídos a eles no artigo 4 do GDPR ou na CCPA, nos casos em que a CCPA for aplicável.

Conformidade com as Leis de Proteção de Dados Aplicáveis
1. A Sinch e o Cliente deverão cumprir as disposições e obrigações impostas a eles pelas Leis de Proteção de Dados Aplicáveis e deverão garantir que seus funcionários e subprocessadores observem as disposições das Leis de Proteção de Dados Aplicáveis.

Detalhes e Escopo do Processamento
1. O Processamento dos Dados Pessoais do Cliente dentro do escopo do Contrato deverá ser realizado de acordo com as seguintes estipulações e conforme exigido pelas Leis de Proteção de Dados Aplicáveis. As partes podem alterar essas informações de tempos em tempos, conforme considerarem necessário para atender a esses requisitos.
  1. Objeto e duração do processamento de dados pessoais: O objeto e a duração do processamento dos dados pessoais estão definidos no Contrato Principal.
  2. A natureza e a finalidade do processamento de dados pessoais: Nos termos do Contrato Principal, a Sinch fornece determinados serviços, como envio de mensagens, e-mail, chamadas de voz e outros serviços de comunicação, conforme detalhado no Contrato Principal, para o cliente, o que envolve o processamento de dados pessoais. Sujeitas à seção 3(a)(iv), essas atividades de processamento incluem (a) o fornecimento dos Serviços; (b) a detecção, prevenção e resolução de problemas técnicos e de segurança; e (c) a resposta às solicitações de suporte do Cliente.
  3. Os tipos de dados pessoais a serem processados: Os dados pessoais enviados à rede da Sinch, cuja extensão é determinada e controlada pelo Controlador a seu exclusivo critério, podem incluir nome, e-mail, números de telefone, endereço IP e outros dados pessoais incluídos nas listas de contatos e no conteúdo da mensagem ou chamada.
  4. Exclusão de controlador de dados independente: Não obstante qualquer outra disposição aqui contida, ao processar dados pessoais durante o fornecimento de serviços de comunicação como parte dos Serviços, incluindo a transmissão e a troca de SMS por meio de redes de telecomunicações e outras mensagens e comunicações, incluindo e-mails, voz e outras mídias por meio de outras plataformas de comunicação, independentemente de o cliente atuar como controlador ou processador, a Sinch atua como controlador de dados independente, e não como controlador conjunto, de modo a fornecer seus serviços de comunicação e realizar suas funções e negócios necessários como provedor de serviços de comunicação e serviços de valor agregado (VAS), incluindo as medidas necessárias para evitar spam e fraude e controle, segurança e manutenção de sua rede, gerenciamento de suas funções de negócios e conformidade, e consistente com suas obrigações sob as leis aplicáveis.
  5. As categorias de titulares de dados a quem os dados pessoais se referem: Remetentes e destinatários de mensagens de e-mail e SMS, chamadas de voz ou outras comunicações.
2. A Sinch processará os Dados Pessoais do cliente apenas (i) para os fins de cumprimento de suas obrigações sob o Contrato Principal e (ii) de acordo com as instruções documentadas descritas neste DPA ou conforme de outra forma instruído pelo cliente de tempos em tempos. Essas instruções do Cliente deverão ser documentadas no pedido aplicável, na descrição dos serviços, no ticket de suporte, em outra comunicação por escrito ou conforme orientado pelo Cliente usando os Serviços (por exemplo, por meio de uma API ou painel de controle).
3. Quando a Sinch acreditar razoavelmente que uma instrução do Cliente é contrária às disposições do Contrato Principal ou deste DPA, ou que infringe o GDPR ou outras disposições de proteção de dados aplicáveis, ela deverá informar o Cliente sem demora. Em ambos os casos, a Sinch estará autorizada a adiar a execução da instrução relevante até que ela tenha sido alterada pelo Cliente ou seja mutuamente acordada entre o Cliente e a Sinch.
4. O cliente é o único responsável por sua utilização e gerenciamento de dados pessoais enviados ou transmitidos pelos Serviços, incluindo: (i) verificar as informações do destinatário, como número de telefone ou endereço, e se elas foram inseridas corretamente nos Serviços (ii) notificar razoavelmente qualquer destinatário sobre a natureza insegura do e-mail ou envio de mensagens como um meio de transmitir dados pessoais (conforme aplicável), (iii) limitar razoavelmente a quantidade ou tipo de informação divulgada por meio dos Serviços (iv) criptografar quaisquer dados pessoais transmitidos por meio dos Serviços onde for apropriado ou exigido pela lei aplicável (como por meio do uso de anexos criptografados, conjuntos de ferramentas PGP ou S/MIME). Quando o Cliente decide não configurar a criptografia obrigatória, ele reconhece que os Serviços podem incluir a transmissão de e-mail não criptografado em texto simples pela Internet pública e por redes abertas. As informações carregadas nos Serviços, incluindo o conteúdo da mensagem, são armazenadas em um formato criptografado quando processadas pela Infraestrutura da Sinch.

Controlador e Processador
1. Para os fins deste DPA, o Cliente é o controlador dos Dados Pessoais do Cliente e a Sinch é o processador de tais dados, exceto quando o Cliente atua como processador dos Dados Pessoais do Cliente, caso em que a Sinch é um subprocessador.
2. A Sinch deverá, em todos os momentos, ter um executivo responsável por ajudar o cliente (i) a responder a consultas sobre o Processamento de Dados recebidas de titulares dos dados; e (ii) no preenchimento de todas as informações legais e requisitos de divulgação que se aplicam e estão associados ao Processamento de Dados. Essa assistência pode ser solicitada em dpo@sinch.com.
3. O Cliente garante que:
  1. O processamento dos Dados Pessoais do Cliente é baseado em fundamentos legais para o processamento, conforme pode ser exigido pelas Leis de Proteção de Dados Aplicáveis e que ele obteve e manterá durante a vigência do Contrato Principal todos os direitos, permissões, registros e consentimentos necessários de acordo com e conforme exigido pelas Leis de Proteção de Dados Aplicáveis com relação ao processamento pela Sinch dos Dados Pessoais do Cliente sob este DPA e o Contrato Principal;
  2. tem o direito e tem todos os direitos, permissões e consentimentos necessários para transferir os Dados Pessoais do Cliente para a Sinch e, de outra forma, permitir que a Sinch processe os Dados Pessoais do Cliente em seu nome, para que a Sinch possa usar, processar e transferir legalmente os Dados Pessoais do Cliente para realizar os Serviços e executar os outros direitos e obrigações da Sinch sob este DPA e o Contrato Principal;
  3. informará seus Titulares de Dados sobre seu uso de Processadores no Processamento de seus dados pessoais, na medida exigida pelas Leis de Proteção de Dados Aplicáveis; e,
  4. responderá, em um prazo razoável e na medida do possível, às perguntas dos Titulares de Dados sobre o processamento de seus dados pessoais e dará as instruções apropriadas à Sinch em tempo hábil.

Confidencialidade
1. A Sinch garantirá que cada um de seus funcionários e dos subprocessadores autorizados a processar os Dados Pessoais do Cliente esteja sujeito a compromissos de confidencialidade ou obrigações profissionais ou estatutárias de confidencialidade e seja treinado com os requisitos relevantes de segurança e proteção de dados.

Medidas Técnicas e Organizacionais
1. A Sinch deverá, em relação aos Dados Pessoais do cliente, (a) tomar e documentar medidas razoáveis e apropriadas, conforme descrito no Anexo 2, em relação à segurança da Infraestrutura da Sinch e das plataformas usadas para fornecer os Serviços, conforme descrito no Contrato Principal, e (b) mediante solicitação razoável às custas do cliente, ajudar o cliente a garantir a conformidade com as obrigações do cliente de acordo com as Leis de proteção de dados aplicáveis.
2. Os procedimentos operacionais internos da Sinch devem cumprir os requisitos específicos de um gerenciamento eficaz da Proteção de Dados.

Solicitações do Titular dos Dados
1. A Sinch fornece ferramentas específicas para ajudar os clientes a responder às solicitações recebidas dos titulares dos dados. Isso inclui nossas APIs e interfaces para pesquisar dados de eventos, supressões e recuperar o conteúdo da mensagem. Quando a Sinch receber uma reclamação, consulta ou solicitação (incluindo solicitações feitas por titulares dos dados para exercer seus direitos de acordo com as Leis de Proteção de Dados Aplicáveis) relacionada aos Dados Pessoais do Cliente diretamente dos titulares dos dados, a Sinch notificará o Cliente. Levando em conta a natureza do processamento, a Sinch ajudará o Cliente, por meio de medidas técnicas e organizacionais apropriadas, na medida em que isso seja razoavelmente possível, para o cumprimento da obrigação do Cliente de responder a solicitações para o exercício dos direitos dos titulares dos dados.

Violações de Dados Pessoais
1. A Sinch notificará o Cliente sem atraso indevido assim que a Sinch tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A Sinch deverá, levando em consideração a natureza do processamento e as informações disponíveis para a Sinch, envidar esforços comercialmente razoáveis para fornecer ao Cliente informações suficientes para permitir que o Cliente, às custas do Cliente, cumpra quaisquer obrigações de relatar ou informar as autoridades regulatórias, titulares de dados e outras entidades sobre tal violação de dados pessoais na medida exigida pelas Leis de Proteção de Dados Aplicáveis.

Avaliações de impacto na proteção de dados
1. A Sinch deverá, levando em consideração a natureza do processamento e as informações disponíveis, fornecer assistência razoável ao Cliente, às custas do Cliente, com quaisquer avaliações de impacto de proteção de dados e consultas prévias com autoridades de supervisão ou outras autoridades regulatórias competentes, conforme necessário para que o Cliente cumpra suas obrigações de acordo com as Leis de Proteção de Dados Aplicáveis.

Auditorias
1. A Sinch disponibilizará ao cliente, mediante solicitação razoável, as informações que sejam razoavelmente necessárias para demonstrar a conformidade com este DPA.
2. O Cliente, ou um auditor terceirizado, pode, mediante solicitação razoável por escrito, conduzir uma inspeção em relação ao processamento dos Dados Pessoais do Cliente pela Sinch e na medida necessária de acordo com as Leis de Proteção de Dados e sem interromper as operações comerciais da Sinch e garantir a confidencialidade.
3. O direito de auditoria, conforme descrito no Parágrafo 10(b) acima, se tornará aplicável ao Cliente, caso a Sinch não tenha fornecido evidências suficientes de sua conformidade com as disposições deste DPA. As evidências suficientes incluem o fornecimento de: (i) uma certificação de conformidade com a ISO 27001 ou outros padrões implementados pela Sinch (escopo conforme definido no certificado); ou (ii) um relatório de auditoria ou atestado de terceiros independentes. Uma auditoria conforme descrito neste Parágrafo 10 deverá ser realizada às custas e despesas do cliente e requer um aviso prévio razoável por parte do cliente de pelo menos trinta (30) dias.

Devolução ou destruição dos Dados Pessoais do cliente
1. O Cliente poderá, mediante notificação por escrito à Sinch, no mais tardar no momento da rescisão do Contrato Principal, solicitar a devolução e/ou certificado de exclusão de todas as cópias dos Dados Pessoais do Cliente no controle ou posse da Sinch e dos subprocessadores. A Sinch fornecerá uma cópia dos Dados do cliente em um formato que possa ser lido e processado posteriormente.
2. Dentro de noventa (90) dias após o encerramento da conta, a Sinch excluirá todos os dados pessoais processados de acordo com este DPA, a menos que o Cliente solicite a devolução dos dados pessoais conforme descrito no Parágrafo 11(a) acima. Esta disposição não afetará possíveis deveres estatutários das Partes de preservar registros por períodos de retenção definidos por lei, estatuto ou contrato.
3. Qualquer custo adicional decorrente da devolução de dados pessoais após a rescisão ou expiração do Contrato deverá ser arcado pelo Cliente.

Transferências de dados
1. O Cliente reconhece e concorda que, em conexão com a execução dos Serviços nos termos do Contrato, a Sinch pode transferir dados pessoais dentro de seu grupo de empresas. Essas transferências são necessárias para fornecer os Serviços globalmente.
2. Sempre que os dados pessoais forem processados fora do país onde a entidade jurídica contratada da Sinch estiver estabelecida, a Sinch garantirá um nível adequado de proteção de dados pessoais por meio de medidas organizacionais, técnicas e contratuais, conforme exigido pelas Leis de proteção de dados aplicáveis e por este DPA.
3. As Cláusulas Contratuais Padrão e, se necessário, o Adendo do Reino Unido, tendo a Sinch atuando como importadora de dados e o Cliente atuando como exportador de dados, são incorporados como parte deste DPA. Caso o acordo da Sinch com um subprocessador envolva uma Transferência Restrita, a Sinch deverá garantir que as disposições de transferência subsequente das Cláusulas Contratuais Padrão e/ou do Adendo do Reino Unido sejam incorporadas ao Contrato Principal ou, de outra forma, celebradas entre a Sinch e o subprocessador. O Cliente concorda em exercer seu direito de auditoria nas Cláusulas Contratuais Padrão ao instruir a Sinch a conduzir a auditoria definida no Parágrafo 10.
4. Para transferências de dados pessoais da União Europeia, do Espaço Econômico Europeu e/ou de seus estados membros, da Suíça e do Reino Unido para países que não garantem um nível adequado de proteção de dados no sentido das leis de proteção de dados dos territórios acima mencionados, na medida em que tais transferências estejam sujeitas a leis e regulamentos de proteção de dados e a fim de implementar salvaguardas apropriadas, as seguintes salvaguardas são adotadas: (i) Cláusulas Contratuais Padrão de acordo com a Decisão 2021/914/EU da Comissão Europeia de 4 de junho de 2021, (2) para o Sinch Email, a Estrutura de Privacidade de Dados UE-EUA (EU-US DPF) e a Extensão do Reino Unido para a EU-U.S DPF, conforme estabelecido pelo Departamento de Comércio dos EUA (3) Adendo do Reino Unido, e (4) salvaguardas adicionais com relação a medidas de segurança, incluindo criptografia de dados, agregação de dados, separação de controles de acesso e princípios de minimização de dados.

Subprocessamento
1. O Cliente, por meio deste, dá uma autorização geral à Sinch para nomear subprocessadores de acordo com este Parágrafo 13 e o Anexo 1. A Sinch garantirá que os subprocessadores estejam vinculados a acordos por escrito que exijam que eles forneçam pelo menos o nível de proteção de dados exigido da Sinch por este DPA. O cliente também dá à Sinch uma autorização específica para continuar a usar os subprocessadores já contratados na data deste DPA, conforme mencionado na seção (b).
2. Os subprocessadores atuais para os Serviços estão definidos em https://sinch.com/legal/data-protection-agreement-sub-processors/ (“Lista de subprocessadores”). Desde que o Cliente assine as notificações de novos subprocessadores por meio do mecanismo de assinatura encontrado em https://sinch.com/legal/data-protection-agreement-sub-processors/, a Sinch notificará o Cliente, por meio desse mecanismo, com 30 (trinta) dias de antecedência sobre quaisquer alterações pretendidas com relação à adição ou substituição de qualquer Subprocessador. Se, no prazo de dez (10) dias úteis após o recebimento desse aviso, o Cliente notificar a Sinch por escrito sobre quaisquer objeções com base em motivos razoáveis à nomeação proposta, a Sinch não nomeará o subprocessador proposto até que medidas razoáveis tenham sido tomadas para tratar das objeções levantadas pelo Cliente e o Cliente tenha recebido uma explicação razoável por escrito das medidas tomadas. Se a Sinch e o cliente não conseguirem resolver a nomeação de um subprocessador dentro de um período razoável, qualquer uma das partes terá o direito de rescindir o Contrato Principal por justa causa.
3. A Sinch será responsável pelos atos e omissões de quaisquer subprocessadores, assim como é responsável perante o Cliente por seus próprios atos e omissões em relação aos assuntos previstos neste DPA.

Lei aplicável e jurisdição
1. As partes deste DPA submetem-se, por meio deste instrumento, à escolha da jurisdição estipulada no Contrato Principal com relação a quaisquer disputas ou reivindicações de qualquer natureza decorrentes deste DPA, inclusive disputas relativas à sua existência, validade ou rescisão ou às consequências de sua nulidade.
2. Este DPA e todas as obrigações não contratuais ou de outra natureza decorrentes de ou relacionadas a ele são regidos pelas leis do país ou território estipulado para esse fim no Contrato Principal.
3. Não obstante o mencionado nos Parágrafos (a) e (b), todas as obrigações decorrentes de ou relacionadas às Cláusulas Contratuais Padrão incorporadas a este DPA serão regidas pelas leis do Estado-Membro da UE especificadas no Anexo 1, conforme exigido para a validade dessas Cláusulas Contratuais Padrão de acordo com a Decisão 2021/914/UE da Comissão Europeia de 4 de junho de 2021.

Ordem de precedência
1. Com relação ao objeto deste DPA, no caso de inconsistências entre as disposições deste DPA e quaisquer outros contratos entre as partes, incluindo o Contrato Principal e incluindo (exceto quando explicitamente acordado de outra forma por escrito, assinado em nome das partes) contratos celebrados ou supostamente celebrados após a data deste DPA, as disposições deste DPA prevalecerão.

Divisibilidade
1. Se qualquer disposição deste DPA for inválida ou inexequível, o restante deste DPA permanecerá válido e em vigor. A disposição inválida ou inexequível será (i) alterada conforme necessário para garantir sua validade e exequibilidade, preservando as intenções das partes o mais próximo possível ou, se isso não for possível, (ii) interpretada de forma como se a parte inválida ou inexequível nunca estivesse contida nela.

Rescisão
1. Este DPA e as Cláusulas Contratuais Padrão serão rescindidos simultânea e automaticamente com a rescisão do Contrato Principal.

ANEXO 1

CLÁUSULAS CONTRATUAIS PADRÃO

Com relação às Cláusulas Contratuais Padrão, as Partes concordam que:

O Módulo 2 (Controlador-para-Processador) será aplicado quando a Sinch atuar como operador de dados do Cliente; o Módulo 3 (Processador-para-Processador) será aplicado quando a Sinch atuar como subprocessador do Cliente. Para cada módulo, quando aplicável:
A Cláusula 7 (Cláusula de adesão) é incorporada;
Para os fins da Cláusula 9.a) (Uso de subprocessadores), aplica-se a Opção 2: A autorização geral por escrito. O importador de dados tem a autorização geral do exportador de dados para o engajamento de subprocessadores de uma lista acordada. O importador de dados deverá informar especificamente o exportador de dados, por escrito, sobre quaisquer alterações pretendidas nessa lista por meio da adição ou substituição de subprocessadores com pelo menos 30 (trinta) dias de antecedência;
A redação opcional na Cláusula 11 (Reparação) sobre órgãos de resolução independentes não é incorporada;
Para os fins da Cláusula 13 (Supervisão), IMY, a Autoridade de proteção de dados Sueca (Integritetsskyddsmyndigheten) atuará como autoridade supervisora competente;
A Opção 1 da Cláusula 17 (Legislação aplicável) será aplicada e as leis da Suécia regerão as Cláusulas Contratuais Padrão;
Para os fins da Cláusula 18 (Escolha de foro e jurisdição), os tribunais da Suécia resolverão qualquer disputa decorrente das Cláusulas Contratuais Padrão;
O Anexo IA (Lista de Partes) e o Anexo IB (Descrição da Transferência) deverão ser preenchidos com as informações e detalhes especificados no Contrato Principal e listados no Parágrafo 3 do DPA;
O Anexo IB (Descrição da transferência) deve ser complementado com a especificação de que nenhum dado sensível será transferido. A frequência da transferência deve ser contínua. Para transferências para subprocessadores, o objeto, a natureza e a duração do processamento devem ser os mesmos do importador de dados;
Para os fins do Anexo IC, a autoridade supervisora competente, de acordo com a Cláusula 13, é a IMY, a Autoridade Sueca de Proteção de Dados (Integritetsskyddsmyndigheten);
Para fins do Anexo II, as medidas técnicas e organizacionais estão descritas no Anexo 2 do DPA;
Para fins do Anexo III, a Lista de Subprocessadores é mencionada na Cláusula 13 do DPA;
Quando a Transferência Restrita estiver sujeita ao Regulamento, uma vez que ele faz parte da legislação da Inglaterra e País de Gales, Escócia e Irlanda do Norte (GDPR do Reino Unido), as Cláusulas Contratuais Padrão deverão incorporar o Adendo do Reino Unido preenchido da seguinte forma:
1. Para os fins da Tabela 1, a data de início é a data de assinatura do DPA e os detalhes das Partes devem ser preenchidos usando as informações e os detalhes especificados no Contrato Principal;
2. Para os fins da Tabela 2, a versão das SCCs aprovadas da UE à qual o Adendo do Reino Unido está anexado é a das Cláusulas Contratuais Padrão, conforme preenchidas de acordo com este Anexo 1, sendo a data a data de vigência deste Adendo;
3. Para fins da Tabela 3, as Informações do Apêndice são as descritas nos parágrafos (h) – (l) deste Anexo 1; e,
4. Para os fins da Tabela 4, a entidade da Sinch atuando como Importador pode encerrar o Adendo do Reino Unido quando o Adendo Aprovado for alterado.

ANEXO 2

SEGURANÇA DA INFORMAÇÃO – MEDIDAS TÉCNICAS E ORGANIZACIONAIS

As Medidas Técnicas e Organizacionais incluídas neste Anexo são medidas aplicáveis ao(s) Serviço(s) fornecido(s) pela Sinch. Se necessário, para o Serviço, a Sinch poderá incluir outras medidas técnicas e organizacionais na Ordem de Serviço ou no Serviço.

1) Inventário de informações e outros ativos associados   

Um inventário de informações e outros ativos associados, incluindo proprietários, é criado e mantido.    Um proprietário de ativo foi nomeado para cada ativo do inventário de acordo com a política de etiquetagem de ativos.  

2) Informações de autenticação 

A alocação e o gerenciamento das informações de autenticação são controlados por um processo de gerenciamento, que inclui a orientação do pessoal sobre o manuseio adequado das informações de autenticação.    

Em particular:  

Não limitar os caracteres permitidos que podem ser usados.  
Senha com comprimento mínimo de 12 caracteres com complexidade obrigatória
Não usar perguntas secretas como único requisito para redefinir a senha    
Exigir verificação por e-mail de uma solicitação de alteração de senha   
Exigir a senha atual além da nova senha durante a alteração da senha 
Verificar as senhas recém-criadas em relação a listas de senhas comuns ou bancos de dados de senhas vazadas  
Verificar regularmente se as senhas de usuários existentes estão comprometidas    
Os segredos memorizados devem receber salt e hash usando uma função de derivação de chave unidirecional adequada.      
Impor o bloqueio adequado da conta e a proteção contra força bruta no acesso à conta; no máximo 5 logins com falha, seguido por bloqueio da conta por 30 minutos
A última senha não deve ser reutilizada    
MFA e SSO devem ser usados em todos os casos de uso

3) Direitos de acesso  

Os direitos de acesso às informações e a outros ativos associados são provisionados, revisados, modificados e removidos de acordo com a política específica do tópico e as regras de controle de acesso da organização.    

Em particular:

Os direitos de acesso a escritórios, informações e sistemas são revisados trimestralmente.

4) Prontidão de TIC (Tecnologia da Informação e Comunicação) para a continuidade dos negócios    

A prontidão da ICT é planejada, implementada, mantida e testada com base nos objetivos de continuidade dos negócios e nos requisitos de continuidade de ICT.      

Em particular:

Todas as unidades de negócios têm um ou mais planos de recuperação de desastres especificamente alinhados com a oferta de produtos.     
Os planos de recuperação de desastres são testados anualmente.

5) Conscientização, educação e treinamento sobre segurança da informação 

O pessoal da organização e as partes interessadas relevantes recebem conscientização, educação e treinamento adequados sobre segurança da informação, além de atualizações regulares da política de segurança da informação da organização, e de políticas e procedimentos específicos do tópico, conforme relevante para sua função. 

Em particular:

Todos os funcionários concluíram o processo em até duas semanas após a data de início  
Todos os funcionários realizaram treinamento sobre Segurança da Informação (ISA) nos últimos 12 meses  
O conteúdo do treinamento sobre Segurança da Informação (ISA) é atualizado a cada 12 meses

6) Gerenciamento de capacidade   

O uso de recursos é monitorado e ajustado de acordo com os requisitos de capacidade atuais e esperados.      

7) Proteção contra malware   

A proteção contra malware é implementada e apoiada pela conscientização adequada do usuário.    Todos os dispositivos de endpoint devem ter detecção de endpoint EDR/XDR.

8) Gerenciamento de vulnerabilidades técnicas 

São obtidas informações sobre as vulnerabilidades técnicas dos sistemas de informação em uso, a exposição da Sinch a essas vulnerabilidades é avaliada e são tomadas as medidas adequadas.      

Em particular:

Varredura de vulnerabilidades a cada 7 dias.    
Aplicar patches de segurança a todos os componentes da pilha de aplicativos com pontuação de gravidade superior a “Média”, conforme determinado pelo emissor do patch, dentro de um mês (30 dias) após o lançamento
Teste de invasão manual blackbox realizado a cada 12 meses

9) Gerenciamento de configuração  

As configurações, incluindo as configurações de segurança, de hardware, software, serviços e redes, são estabelecidas, documentadas, implementadas, monitoradas e revisadas de acordo com os seguintes padrões: NIST 800-53 e Controles CIS.

10)  Backup de informações     

Cópias de backup de informações, software e sistemas são mantidas e testadas regularmente, de acordo com a política específica de tópicos acordada sobre backup.    

A rotina de backup especifica pelo menos:     

Intervalos de backup (mínimo semanal)    
Requisitos de retenção    
Local para armazenamento de backup     
Extensão do backup (por exemplo, dados, configurações, backup completo do sistema)    
Estratégia de backup (por exemplo, online versus offline, número de backups, relação entre backup completo e incremental)    
Os testes de restauração de backup devem ser realizados, no mínimo, trimestralmente para sistemas críticos para os negócios e, no mínimo, anualmente para todos os outros

11) Atividades de monitoramento 

As redes, os sistemas e os aplicativos são monitorados quanto a comportamentos anômalos e as ações apropriadas são tomadas para avaliar possíveis incidentes de segurança da informação.    Redes, sistemas e aplicativos são monitorados quanto a comportamentos anômalos e mal-intencionados para detectar possíveis incidentes de segurança.          

12) Segurança de rede 

As redes e os dispositivos de rede são protegidos, gerenciados e controlados para proteger as informações em sistemas e aplicativos.  

Por exemplo:

Criptografar dados em repouso em servidores, aplicativos e bancos de dados (mínimo AES256). Criptografar dados em trânsito (TLS 1.2 ou superior).   
Registrar e monitorar adequadamente para permitir o registro e a detecção de ações que possam afetar ou sejam relevantes para a segurança da informação, incluindo EDR/XDR
O proprietário do produto deve manter a documentação atualizada, incluindo diagramas de rede e arquivos de configuração de dispositivos (por exemplo roteadores, switches).    
Fortalecimento dos dispositivos de rede
Os canais de administração de rede são segregados de outro tráfego de rede

13) Gerenciamento do ciclo de vida do sistema 

São estabelecidas e aplicadas regras para o desenvolvimento seguro de software e sistemas.  

Por exemplo, na Sinch:

O sistema é projetado de forma segura, utilizando modelagem de ameaças, conforme necessário.     
Há um plano para manter o sistema alinhado com o controle de gerenciamento de vulnerabilidades 
Há um proprietário do sistema    
Há um plano para substituir o sistema (política de legado zero)

14) Testes de segurança no desenvolvimento e na aceitação 

Os processos de teste de segurança são definidos e implementados no ciclo de vida do desenvolvimento.    

Varreduras SAST e de detecção de vulnerabilidades & segredos em pipelines de CICD. Se possível DAST    
Nenhuma vulnerabilidade crítica ou alta; remediadas antes de estarem disponíveis para os clientes    
Gerenciar com segurança a infraestrutura de rede.  
Todos os projetos seguem as Listas de verificação de segurança de lançamento de produtos

15) Medidas para garantir a segurança física dos locais em que os dados pessoais são processados 

Medidas de segurança física e ambiental foram implementadas na Sinch.

Por exemplo, na Sinch:

Os perímetros de segurança são definidos e usados para proteger as áreas que contêm informações e outros ativos associados.
As áreas seguras são protegidas por controles de entrada e pontos de acesso adequados.
A segurança física de escritórios, salas e instalações é projetada e implementada.
As instalações são continuamente monitoradas quanto ao acesso físico não autorizado.
A proteção contra ameaças físicas e ambientais, como desastres naturais e outras ameaças físicas intencionais ou não intencionais à infraestrutura, é projetada e implementada.
Medidas de segurança para trabalhar em áreas seguras são projetadas e implementadas.
Regras de mesa limpa para papéis e mídias de armazenamento removíveis e regras de tela limpa para instalações de processamento de informações são definidas e aplicadas adequadamente.
O equipamento está localizado de forma segura e protegida.
Os ativos fora do local são protegidos.
A mídia de armazenamento é gerenciada em todo o seu ciclo de vida de aquisição, uso, transporte e descarte, de acordo com o esquema de classificação e os requisitos de manuseio da organização.
As instalações de processamento de informações são protegidas contra falhas de energia e outras interrupções causadas por falhas nos serviços públicos de suporte.
Os cabos que transportam energia, dados ou serviços de informação de suporte são protegidos contra interceptação, interferência ou danos.
Os equipamentos são mantidos corretamente para garantir a disponibilidade, integridade e confidencialidade das informações.
Os itens de equipamento que contêm mídia de armazenamento são verificados para garantir que todos os dados confidenciais e softwares licenciados tenham sido removidos ou substituídos com segurança antes do descarte ou da reutilização.

A Sinch também aplicou um Sistema de Gestão de Segurança da Informação (ISMS), de acordo com a norma ISO/IEC 27001:2022.

16) Medidas para garantir a retenção limitada de dados  

Foram implementadas medidas para garantir a retenção limitada de dados pessoais.

Por exemplo, a Sinch:

Estabeleceu uma política de retenção de dados, que define claramente os tipos específicos de dados que serão coletados, por quanto tempo serão retidos e quando serão excluídos.
Implementou processos de exclusão automatizados. 
Revisa e atualiza regularmente a política de retenção.
Limita a coleta de dados apenas ao que é necessário para a finalidade de negócios específica.
Treina os funcionários sobre a retenção de dados.
Revisa e monitora regularmente a retenção de dados
Usa criptografia para proteger os dados que são retidos, para reduzir o risco de acesso ou divulgação não autorizada.

17) Medidas para garantir a prestação de contas 

Medidas técnicas e organizacionais adequadas foram implementadas para atender aos requisitos de prestação de contas.

Por exemplo, a Sinch:  

Adotou e implementou políticas de proteção de dados.
Adotou uma abordagem de “proteção de dados por design e padrão”.    
Firmou contratos por escrito com organizações que processam dados pessoais em nome da Sinch.
Documentou suas atividades de processamento.
Realizou avaliações de impacto na proteção de dados.
Nomeou um DPO do Grupo

18) Medidas para permitir a portabilidade de dados e garantir a exclusão  

Medidas para permitir o exercício dos direitos do titular dos dados são implementadas na Sinch.

Por exemplo, a Sinch:

Apaga dados pessoais de sistemas de back-up e de sistemas ativos, quando necessário, e informa claramente ao indivíduo o que acontecerá com seus dados.
Entra em contato com cada destinatário para informá-lo sobre a exclusão, se os dados pessoais forem divulgados a outros, a menos que isso seja impossível ou envolva um esforço desproporcional. Se os dados pessoais tiverem sido tornados públicos em um ambiente online, a organização toma medidas razoáveis para informar a outros controladores, caso estejam processando esses dados, para que apaguem os links para esses dados, ou as cópias ou replicações dos mesmos.
Informa ao titular dos dados quais terceiros receberam os dados pessoais sempre que solicitado.
Fornece dados pessoais em um formato estruturado, comumente usado e legível por máquina, quando solicitado. Sempre que possível e se um indivíduo solicitar, a organização pode transmitir diretamente as informações para outra organização.

19) Medidas para garantir a minimização de dados 

Medidas para minimizar a quantidade de dados processados são implementadas.

Por exemplo, para cada atividade de processamento, a Sinch:

Implementou medidas que garantem que a coleta de dados pessoais seja adequada, relevante e estritamente limitada ao que é necessário em relação aos fins para os quais são processados.
Avaliou que não pode alcançar os objetivos de sua atividade de processamento com dados menos invasivos à privacidade (por exemplo, trabalhando com dados menos granulares) ou processo menos intrusivo (ou seja, usando meios menos intrusivos).
Documentou o requisito para cada campo de dados em relação à finalidade.

ANEXO 3

DESVIOS

Desvios.
1. Para Clientes e contratos no Brasil, além do que está acordado neste DPA, as obrigações estabelecidas adotarão as seguintes palavras e diretrizes:
  1. As definições destacadas abaixo substituirão as usadas neste DPA:
    1. “Categorias Especiais de Dados Pessoais” significa dados pessoais sensíveis: isto significa dados relativos à origem racial ou étnica, crenças religiosas, opiniões políticas, filiação a um sindicato ou a organizações religiosas, filosóficas ou políticas, dados relativos à saúde ou à vida sexual de uma pessoa natural, dados genéticos ou biométricos, quando relacionados a uma pessoa natural.
    2. “Leis de Proteção de Dados Aplicáveis” significa a Lei Geral de Proteção de Dados do Brasil (Lei nº 13.709/2018) (“LGPD”) e o GDPR, conforme transposto para a legislação nacional de cada Estado Membro (e do Reino Unido) e conforme alterado, substituído ou suplantado de tempos em tempos, e as leis que implementam, substituem ou complementam o GDPR e todas as leis aplicáveis ao processamento dos Dados Pessoais do Cliente, incluindo a Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Código § 1798.100 et seq (“CCPA”).
    3. “Processamento de Dados” significará qualquer operação realizada com dados pessoais, tais como as que se referem à coleta, produção, recebimento, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle de informações, modificação, comunicação, transferência, difusão ou extração.
    4. Os termos “consentimento”, “processador”, “controlador,” “titular dos dados”, “dados pessoais”, “processamento” e “autoridade nacional” terão os significados atribuídos a eles na LGPD. Na ausência de uma definição específica na LGPD, a definição contida no Artigo 4 do GDPR deverá ser adotada para os seguintes termos: “terceiro”, “violação de dados pessoais”, “subprocessador” e “autoridade(s) supervisora(s)” (ou “autoridade de controle”).
  2. A seção 3(b) adotará a seguinte redação:
    A Sinch processará os Dados Pessoais do cliente apenas para fins de (i) cumprir com as suas obrigações nos termos do Contrato Principal; (ii) o exercício regular de direitos, inclusive em contrato e em processos judiciais, administrativos e arbitrais; (iii) garantir a prevenção de fraude e a segurança do titular dos dados; e (iv) de acordo com as instruções documentadas descritas neste DPA ou conforme de outra forma instruído pelo cliente de tempos em tempos. Essas instruções do Cliente deverão ser documentadas no pedido aplicável, na descrição dos serviços, no ticket de suporte, em outra comunicação por escrito ou conforme orientado pelo Cliente usando os Serviços (por exemplo, por meio de uma API ou painel de controle).
  3. As disposições contidas na Cláusula 13(b) não se aplicarão.
  4. A seção 6 (b) adotará a seguinte redação:
    Os procedimentos operacionais internos de ambas as partes deverão cumprir os requisitos específicos de um gerenciamento eficaz de proteção de dados e segurança da informação, incluindo, mas não se limitando a, gerenciamento de acesso, prevenção de fraude e uso irregular dos serviços da Sinch.
2. Para Clientes e contratos na Colômbia, além do que está acordado neste DPA, o seguinte é aplicável com relação à definição do termo “Leis de Proteção de Dados Aplicáveis” bem como ao processamento e à transferência de dados pessoais:
  1. “Leis de Proteção de Dados Aplicáveis” significa a Lei Estatutária Colombiana 1581 de 2012 e o Decreto Regulamentar 1377 de 2013, e outros regulamentos que alteram, substituem ou complementam o acima mencionado, bem como o GDPR, conforme transposto para a legislação nacional de cada Estado Membro (e do Reino Unido) e conforme alterado, substituído ou suplantado de tempos em tempos, e as leis que implementam, substituem ou complementam o GDPR e todas as leis aplicáveis ao processamento dos Dados Pessoais do Cliente, incluindo a Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Código § 1798.100 et seq (“CCPA”).
  2. “O Controlador reconhece que o Processador pode transferir, armazenar e processar Dados Pessoais para territórios fora da Colômbia, onde estarão sujeitos às leis das jurisdições estrangeiras em que são mantidos. O Controlador reconhece que possui todas as autorizações prévias necessárias dos titulares dos dados e registros de bancos de dados que permitiriam ao Processador processar os dados dentro de bancos de dados e em países que atendam, no mínimo, aos mesmos padrões de proteção de dados (nível adequado de proteção) que os previstos nas leis colombianas (tais como, mas não se limitando a, Lei Estatutária 1581 de 2012, Decreto Regulamentar 1377 de 2013, Decreto N° 90 de 2018, a Circular Única da Superintendência de Indústria e Comércio e a Circular Externa Nº 005 de 2017 da Superintendência de Indústria e Comércio, e outros regulamentos que modifiquem, substituam ou complementem as mencionadas acima).”
3. Para Clientes e contratos na Argentina, além do que está acordado neste DPA, aplica-se o seguinte com relação ao processamento e transferência de dados pessoais: o Cliente reconhece que possui toda a autorização prévia necessária dos titulares dos dados para o processamento e transferência de dados pessoais, incluindo dados sensíveis, se aplicável, para a SINCH. As partes reconhecem e concordam que o processamento de dados pessoais será realizado de acordo com a Lei nº 25.326 (“Lei de Proteção de Dados Pessoais da República Argentina”) e com as disposições e resoluções emitidas pela Agência de Acesso à Informação Pública. A transferência de dados pessoais para países ou organizações internacionais ou supranacionais será realizada apenas para destinatários que forneçam níveis adequados de proteção.
4. Para Clientes e contratos no Uruguai, além do que está acordado neste DPA, aplica-se o seguinte com relação ao processamento e à transferência de dados pessoais:
  1. O Controlador reconhece que possui todas as autorizações prévias necessárias dos titulares dos dados e dos registros do banco de dados que permitiriam à Sinch processar dados pessoais e transferi-los e/ou transmiti-los para países que atendam, no mínimo, ao mesmo padrão de proteção de dados pessoais (nível adequado de proteção) previsto na legislação uruguaia, tais como, mas não se limitando a, Lei nº 18.331, Decreto Regulamentar nº 414/009 e Lei nº 19.670, e outros regulamentos que alterem, substituam ou complementem os mencionados acima.
  2. As disposições contidas na Cláusula 13(b) não se aplicarão.
5. Para clientes e contratos no México, além do que foi acordado neste DPA, as definições destacadas abaixo substituirão as definições usadas neste DPA:
  “Leis de proteção de dados aplicáveis” significam a Lei Federal Mexicana de Proteção de Dados Pessoais em Posse de Particulares (“LFPDPPP”) e outros regulamentos que alterem, substituam ou complementem as supracitadas, bem como o GDPR, conforme transposto para a legislação nacional de cada Estado-Membro (e do Reino Unido) e conforme alterado, substituído ou suplantado de tempos em tempos, e as leis que implementam, substituem ou complementam o GDPR e todas as leis aplicáveis ao processamento de Dados Pessoais do cliente, incluindo a Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Código § 1798.100 et seq (“CCPA”).