Contrato de Processamento de Dados

Versão 8 – Data de lançamento: 29 de outubro de 2025

Este Contrato de Processamento de Dados (este Data Processing Agreement ou "DPA") faz parte e está sujeito ao contrato de serviços subjacente (o "Contrato Principal") entre a entidade Sinch ("Sinch") e a entidade cliente ("Cliente") que celebraram esse Contrato Principal para a prestação de Serviços da Sinch ao Cliente. Este DPA se aplica à Sinch e ao Cliente e suas respectivas afiliadas. As partes deste DPA são idênticas às partes do Contrato Principal.

1. Definitions. For the purposes of this DPA, capitalized terms shall have the following meanings. Capitalized terms not otherwise defined shall have the meaning given to them in the Principal Agreement.  
   1. "Dados Pessoais do Cliente" significam quaisquer dados pessoais que sejam processados pela Sinch em nome do Cliente para executar os Serviços nos termos do Contrato Principal.
   2. “Leis de Proteção de Dados Aplicáveis” significa o RGPD, conforme transposto para a legislação nacional de cada Estado-Membro (e do Reino Unido) e conforme alterado, substituído ou suplantado de tempos em tempos, e as leis que implementam, substituem ou complementam o RGPD e todas as leis aplicáveis ao processamento dos Dados Pessoais do Cliente, incluindo a Lei de Direitos de Privacidade do Consumidor da Califórnia de 2020, que altera a Lei de Privacidade do Consumidor da Califórnia de 2018 Cal. Civ. Código § 1798.100 et seq ("CCPA").
   3. "RGPD" significa o Regulamento Geral de Proteção de Dados (UE) 2016/679 sobre a proteção de pessoas físicas com relação ao processamento de dados pessoais e à livre circulação desses dados.
   4. "Infraestrutura da Sinch" significa (i) instalações físicas da Sinch; (ii) infraestrutura da nuvem hospedada; (iii) a rede corporativa da Sinch e a rede interna não pública, software e hardware necessários para fornecer os Serviços e que são controlados pela Sinch; em cada caso, na medida em que forem usados para fornecer os Serviços.
   5. "Transferência Restrita"é definida como uma transferência dos Dados Pessoais do Cliente da Sinch para um subprocessador em que tal transferência seria proibida pelas Leis de Proteção de Dados Aplicáveis (ou pelos termos dos acordos de transferência de dados estabelecidos para tratar das restrições de transferência de dados das Leis de Proteção de Dados Aplicáveis) na ausência de salvaguardas apropriadas exigidas para tais transferências sob as Leis de Proteção de Dados Aplicáveis.
   6. "Serviços" são definidos como os serviços fornecidos ao Cliente pela Sinch de acordo com o Contrato Principal.
   7. "Cláusulas contratuais padrão" correspondem à versão mais recente das cláusulas contratuais padrão para a transferência de dados pessoais para processadores estabelecidos em países terceiros sob o RGPD (a versão atual na data deste contrato é a anexada à Decisão da Comissão Europeia 2021/914 (UE) de 4 de junho de 2021).
   8. "Adendo do Reino Unido" significa o Adendo do Reino Unido (Adendo de Transferência Internacional de Dados para as Cláusulas Contratuais Padrão da Comissão da UE) estabelecido em https://ico.org.uk/media2/migrated/4019539/international-data-transfer-addendum.pdf
   9. Os termos "consentimento", "controlador", "titular dos dados", "Estado Membro", "dados pessoais", "violação de dados pessoais", "processador", "subprocessador", "processamento", "autoridade supervisora" e "terceiros" terão os significados atribuídos a eles no artigo 4 do RGPD ou na CCPA, nos casos em que a CCPA for aplicável.

2. Compliance with Applicable Data Protection Laws 
   1. A Sinch e o Cliente deverão cumprir as disposições e obrigações impostas a eles pelas Leis de Proteção de Dados Aplicáveis e deverão garantir que seus funcionários e subprocessadores observem as disposições das Leis de Proteção de Dados Aplicáveis.

3. Details and Scope of the Processing 
   1. The Processing of the Customer’s Personal Data within the scope of the Agreement shall be carried out in accordance with the following stipulations and as required according to the Applicable Data Protection Laws. The parties may amend this information from time to time, as the parties may reasonably consider necessary to meet those requirements.  
      1. Objeto e duração do processamento de dados pessoais: o objeto e a duração do processamento dos dados pessoais estão definidos no Contrato Principal.
      2. A natureza e a finalidade do processamento de dados pessoais: nos termos do Contrato Principal, a Sinch fornece determinados serviços, como mensagens, email, chamadas de voz e outros serviços de comunicação, conforme detalhado no Contrato Principal, para o Cliente, o que envolve o processamento de dados pessoais. Sujeitas à seção 3(a)(iv), essas atividades de processamento incluem (a) o fornecimento dos Serviços; (b) a detecção, prevenção e resolução de problemas técnicos e de segurança; e (c) a resposta às solicitações de atendimento do Cliente.
      3. Os tipos de dados pessoais aserem processados: os dados pessoais enviados à rede da Sinch, cuja extensão é determinada e controlada pelo Controlador a seu exclusivo critério, podem incluir nome, email, números de telefone, endereço IP e outros dados pessoais incluídos nas listas de contatos e conteúdo de mensagens ou chamadas.
      4. Exclusão do Controlador de Dados Independente: não obstante qualquer outra disposição aqui contida, ao processar dados pessoais durante o fornecimento de serviços de comunicação como parte dos Serviços, incluindo a transmissão e a troca de SMS por meio de redes de telecomunicações e outras mensagens e comunicações, incluindo emails, voz e outras mídias por meio de outras plataformas de comunicação, independentemente de o Cliente atuar como controlador ou processador, a Sinch atua como controladora de dados independente, e não como controlador conjunto, de modo a fornecer seus serviços de comunicação e realizar suas funções e negócios necessários como provedor de serviços de comunicação e serviços de valor agregado (VAS), incluindo as medidas necessárias para evitar spam e fraude e controle, segurança e manutenção de sua rede, gerenciamento de suas funções de negócios e compliance , e consistente com suas obrigações sob as leis aplicáveis.
      5. As categorias de titulares de dados a quem os dados pessoais se referem: remetentes e destinatários de mensagens de email e SMS, chamadas de voz ou outras comunicações.
   2. A Sinch somente processará os Dados Pessoais do Cliente (i) para fins de cumprimento de suas obrigações nos termos do Contrato Principal e (ii) de acordo com as instruções documentadas descritas neste contrato ou conforme instruído de outra forma pelo Cliente de tempos em tempos. Essas instruções do Cliente deverão ser documentadas no pedido aplicável, na descrição dos serviços, no ticket de suporte, em outra comunicação por escrito ou conforme orientado pelo Cliente usando os Serviços (por exemplo, por meio de uma API ou painel de controle).
   3. Quando a Sinch acreditar razoavelmente que uma instrução do Cliente é contrária às disposições do Contrato Principal ou deste contrato, ou que infringe o RGPD ou outras disposições de proteção de dados aplicáveis, ela deverá informar o Cliente sem demora. Em ambos os casos, a Sinch estará autorizada a adiar a execução da instrução relevante até que ela tenha sido alterada pelo Cliente ou seja mutuamente acordada entre o Cliente e a Sinch.
   4. O Cliente é o único responsável por sua utilização e gerenciamento dos dados pessoais enviados ou transmitidos pelos Serviços, inclusive: (i) verificar as informações do destinatário, como número de telefone ou endereço, e se elas foram inseridas corretamente nos Serviços (ii) notificar razoavelmente qualquer destinatário sobre a natureza insegura do email ou das mensagens como meio de transmissão de dados pessoais (conforme aplicável), (iii) limitar razoavelmente a quantidade ou o tipo de informações divulgadas por meio dos Serviços (iv) criptografar quaisquer dados pessoais transmitidos por meio dos Serviços, quando apropriado ou exigido pela legislação aplicável (por exemplo, por meio do uso de anexos criptografados, conjuntos de ferramentas PGP ou S/MIME). Quando o Cliente decide não configurar a criptografia obrigatória, ele reconhece que os Serviços podem incluir a transmissão de email não criptografado em texto simples pela Internet pública e por redes abertas. As informações carregadas virtualmente nos Serviços, incluindo o conteúdo das mensagens, são armazenadas em um formato criptografado quando processadas pela Infraestrutura da Sinch.

4. Controller and Processor 
   1. Para os fins deste contrato, o Cliente é o controlador dos Dados Pessoais do Cliente e a Sinch é o processador de tais dados, exceto quando o Cliente atua como processador dos Dados Pessoais do Cliente, caso em que a Sinch é um subprocessador.
   2. A Sinch deverá ter sempre um funcionário responsável por auxiliar o Cliente (i) na resposta a consultas sobre o Processamento de Dados recebidas dos Titulares dos Dados; e, (ii) no preenchimento de todas as informações legais e requisitos de divulgação que se aplicam e estão associados ao Processamento de Dados. Essa assistência pode ser solicitada em dpo@sinch.com.
   3. The Customer warrants that: 
      1. O processamento dos Dados Pessoais do Cliente é baseado em fundamentos legais para o processamento, conforme pode ser exigido pelas Leis de Proteção de Dados Aplicáveis e que ele fez e manterá durante a vigência do Contrato Principal todos os direitos, permissões, registros e consentimentos necessários de acordo com e conforme exigido pelas Leis de Proteção de Dados Aplicáveis com relação ao processamento pela Sinch dos Dados Pessoais do Cliente sob este contrato e o Contrato Principal;
      2. tem o direito e tem todos os direitos, permissões e consentimentos necessários para transferir os Dados Pessoais do Cliente para a Sinch e, de outra forma, permitir que a Sinch processe os Dados Pessoais do Cliente em seu nome, para que a Sinch possa usar, processar e transferir legalmente os Dados Pessoais do Cliente para realizar os Serviços e executar os outros direitos e obrigações da Sinch sob este contrato e o Contrato Principal;
      3. informará seus Titulares de Dados sobre seu uso de Processadores no Processamento de seus dados pessoais, na medida exigida pelas Leis de Proteção de Dados Aplicáveis; e,
      4. responderá, em um prazo razoável e na medida do possível, às perguntas dos Titulares de Dados sobre o processamento de seus dados pessoais e dará as instruções apropriadas à Sinch em tempo hábil.

5. Confidentiality 
   1. A Sinch garantirá que cada um de seus funcionários e dos subprocessadores autorizados a processar os Dados Pessoais do Cliente esteja sujeito a compromissos de confidencialidade ou obrigações profissionais ou estatutárias de confidencialidade e seja treinado com os requisitos relevantes de segurança e proteção de dados.

6. Technical and Organizational Measures 
   1. A Sinch deverá, em relação aos Dados Pessoais do Cliente, (a) tomar e documentar medidas razoáveis e apropriadas, conforme descrito no Anexo 2, em relação à segurança da Infraestrutura da Sinch e das plataformas usadas para fornecer os Serviços, conforme descrito no Contrato Principal, e (b) mediante solicitação razoável e às custas do Cliente, auxiliar o Cliente a garantir a compliance com as obrigações do Cliente de acordo com as Leis de Proteção de Dados Aplicáveis.
   2. Os procedimentos operacionais internos da Sinch devem cumprir os requisitos específicos de um gerenciamento eficaz da Proteção de Dados.

7. Data Subject Requests 
   1. A Sinch fornece ferramentas específicas para ajudar os clientes a responder às solicitações recebidas dos titulares dos dados. Isso inclui nossas APIs e interfaces para pesquisar dados de eventos, supressões e recuperar conteúdo de mensagens. Quando a Sinch receber uma reclamação, consulta ou solicitação (incluindo solicitações feitas por sujeitos de dados para exercer seus direitos de acordo com as Leis de Proteção de Dados Aplicáveis) relacionada aos Dados Pessoais do Cliente diretamente dos sujeitos de dados, a Sinch notificará o Cliente. Levando em conta a natureza do processamento, a Sinch ajudará o Cliente, por meio de medidas técnicas e organizacionais apropriadas, na medida em que isso seja razoavelmente possível, para o cumprimento da obrigação do Cliente de responder a solicitações para o exercício dos direitos dos titulares dos dados.

8. Personal Data Breaches 
   1. A Sinch notificará o Cliente sem atraso indevido assim que a Sinch tomar conhecimento de uma violação de dados pessoais que afete os Dados Pessoais do Cliente. A Sinch deverá, levando em consideração a natureza do processamento e as informações disponíveis para a Sinch, envidar esforços comercialmente razoáveis para fornecer ao Cliente informações suficientes para permitir que o Cliente, às custas do Cliente, cumpra quaisquer obrigações de relatar ou informar as autoridades regulatórias, titulares de dados e outras entidades sobre tal violação de dados pessoais na medida exigida pelas Leis de Proteção de Dados Aplicáveis.

9. Data Protection Impact Assessments 
   1. A Sinch deverá, levando em consideração a natureza do processamento e as informações disponíveis, fornecer assistência razoável ao Cliente, às custas do Cliente, com quaisquer avaliações de impacto de proteção de dados e consultas prévias com autoridades de supervisão ou outras autoridades regulatórias competentes, conforme necessário para que o Cliente cumpra suas obrigações de acordo com as Leis de Proteção de Dados Aplicáveis.

10. Audits 
    1. A Sinch disponibilizará ao Cliente, mediante solicitação razoável, informações que sejam razoavelmente necessárias para demonstrar a compliance com este contrato.
    2. O Cliente, ou um auditor terceirizado, pode, mediante solicitação razoável por escrito, conduzir uma inspeção em relação ao processamento dos Dados Pessoais do Cliente pela Sinch e na medida necessária de acordo com as Leis de Proteção de Dados e sem interromper as operações comerciais da Sinch e garantir a confidencialidade.
    3. O direito de auditoria, conforme descrito no Parágrafo 10(b) acima, se tornará aplicável ao Cliente, caso a Sinch não tenha fornecido evidências suficientes de sua compliance com as disposições deste contrato. Evidências suficientes incluem o fornecimento de: (i) uma certificação de compliance com a ISO 27001 ou outros padrões implementados pela Sinch (escopo conforme definido no certificado); ou (ii) um relatório de auditoria ou atestado de um terceiro independente. Uma auditoria, conforme descrito neste Parágrafo 10, deverá ser realizada às custas e despesas do Cliente e requer aviso prévio razoável por parte do Cliente de pelo menos 30 (trinta) dias.

11. Return or Destruction of the Customer’s Personal Data 
    1. O Cliente poderá, mediante notificação por escrito à Sinch, no mais tardar no momento da rescisão do Contrato Principal, solicitar a devolução e/ou certificado de exclusão de todas as cópias dos Dados Pessoais do Cliente no controle ou posse da Sinch e dos subprocessadores. A Sinch fornecerá uma cópia dos Dados do Cliente em um formato que possa ser lido e processado posteriormente.
    2. Dentro de noventa (90) dias após o encerramento da conta, a Sinch excluirá todos os dados pessoais processados de acordo com este contrato, a menos que o Cliente solicite a devolução dos dados pessoais conforme descrito no Parágrafo 11(a) acima. Esta disposição não afetará possíveis deveres estatutários das Partes de preservar registros por períodos de retenção definidos por lei, estatuto ou contrato.
    3. Qualquer custo adicional decorrente da devolução de dados pessoais após a rescisão ou expiração do Contrato deverá ser arcado pelo Cliente.

12. Data Transfers 
    1. O Cliente reconhece e concorda que, em conexão com a execução dos Serviços nos termos do Contrato, a Sinch pode transferir dados pessoais dentro de seu grupo de empresas. Essas transferências são necessárias para fornecer os Serviços globalmente.
    2. Sempre que os dados pessoais forem processados fora do país onde a pessoa jurídica contratada da Sinch estiver estabelecida, a Sinch garantirá um nível adequado de proteção dos dados pessoais por meio de medidas organizacionais, técnicas e contratuais, conforme exigido pelas Leis de Proteção de Dados Aplicáveis e por este contrato.
    3. As Cláusulas Contratuais Padrão e, se necessário, o Adendo do Reino Unido, tendo a Sinch atuando como importadora de dados e o Cliente atuando como exportador de dados, são incorporados como parte deste contrato. Caso o acordo da Sinch com um subprocessador envolva uma Transferência Restrita, a Sinch deverá garantir que as disposições de transferência subsequente das Cláusulas Contratuais Padrão e/ou do Adendo do Reino Unido sejam incorporadas ao Contrato Principal ou, de outra forma, celebradas entre a Sinch e o subprocessador. O Cliente concorda em exercer seu direito de auditoria nas Cláusulas Contratuais Padrão ao instruir a Sinch a conduzir a auditoria definida no Parágrafo 10.
    4. Para transferências de dados pessoais da União Europeia, do Espaço Econômico Europeu e/ou de seus estados membros, da Suíça e do Reino Unido para países que não garantem um nível adequado de proteção de dados no sentido das leis de proteção de dados dos territórios acima mencionados, na medida em que tais transferências estejam sujeitas a leis e regulamentos de proteção de dados e a fim de implementar salvaguardas apropriadas, as seguintes salvaguardas são adotadas: (i) Cláusulas contratuais padrão de acordo com a Decisão 2021/914/EU da Comissão Europeia de 4 de junho de 2021, (2) para a Sinch Email, a Estrutura de Privacidade de Dados UE-EUA (EU-US DPF) e a Extensão do Reino Unido para a EU-U.S DPF, conforme estabelecido pelo Departamento de Comércio dos EUA (3) Adendo do Reino Unido, e (4) salvaguardas adicionais com relação a medidas de segurança, incluindo criptografia de dados, agregação de dados, separação de controles de acesso e princípios de minimização de dados.

13. Sub-processing 
    1. O Cliente, por meio deste, dá uma autorização geral à Sinch para nomear subprocessadores de acordo com este Parágrafo 13 e o Anexo 1. A Sinch garantirá que os subprocessadores estejam vinculados a acordos por escrito que exijam que eles forneçam pelo menos o nível de proteção de dados exigido da Sinch por este contrato. O Cliente também dá à Sinch uma autorização específica para continuar a usar os subprocessadores já contratados na data deste contrato, conforme mencionado na seção (b).
    2. Os subprocessadores atuais dos Serviços estão definidos em https://sinch.com/legal/data-protection-agreement-sub-processors/ ("Lista de subprocessadores"). Desde que o Cliente assine as notificações de novos subprocessadores por meio do mecanismo de assinatura encontrado em https://sinch.com/legal/data-protection-agreement-sub-processors/ A Sinch notificará o Cliente, por meio desse mecanismo, com 30 (trinta) dias de antecedência sobre quaisquer alterações pretendidas com relação à adição ou substituição de qualquer Subprocessador. Se, no prazo de dez (10) dias úteis após o recebimento desse aviso, o Cliente notificar a Sinch por escrito sobre quaisquer objeções com base em motivos razoáveis à nomeação proposta, a Sinch não nomeará o subprocessador proposto até que medidas razoáveis tenham sido tomadas para tratar das objeções levantadas pelo Cliente e o Cliente tenha recebido uma explicação razoável por escrito das medidas tomadas. Se a Sinch e o Cliente não conseguirem resolver a nomeação de um subprocessador dentro de um período razoável, qualquer uma das partes terá o direito de rescindir o Contrato Principal por justa causa.
    3. A Sinch será responsável pelos atos e omissões de quaisquer subprocessadores, assim como é responsável perante o Cliente por seus próprios atos e omissões em relação aos assuntos previstos neste contrato.

14. Governing law and jurisdiction 
    1. As partes deste contrato submetem-se, por meio deste instrumento, à escolha da jurisdição estipulada no Contrato Principal com relação a quaisquer disputas ou reivindicações de qualquer natureza decorrentes deste contrato, inclusive disputas relativas à sua existência, validade ou rescisão ou às consequências de sua nulidade.
    2. Este contrato e todas as obrigações não contratuais ou de outra natureza decorrentes ou relacionadas a ele são regidos pelas leis do país ou território estipulado para esse fim no Contrato Principal.
    3. Não obstante o acima mencionado neste Parágrafo (a) e (b), todas as obrigações decorrentes ou relacionadas às Cláusulas Contratuais Padrão incorporadas a este contrato serão regidas pelas leis do Estado Membro da UE especificadas no Anexo 1, conforme exigido para a validade dessas Cláusulas Contratuais Padrão de acordo com a Decisão 2021/914/UE da Comissão Europeia de 4 de junho de 2021.

15. Order of precedence 
    1. Com relação ao objeto deste contrato, no caso de inconsistências entre as disposições deste contrato e quaisquer outros contratos entre as partes, incluindo o Contrato Principal e incluindo (exceto quando explicitamente acordado de outra forma por escrito, assinado em nome das partes) contratos celebrados ou supostamente celebrados após a data deste contrato, as disposições deste contrato prevalecerão.

16. Severance 
    1. Se qualquer disposição deste contrato for inválida ou inexequível, o restante deste contrato permanecerá válido e em vigor. A cláusula inválida ou inexequível deverá ser (i) alterada conforme necessário para garantir sua validade e aplicabilidade, preservando as intenções das partes da forma mais próxima possível ou, se isso não for possível, (ii) interpretada como se a parte inválida ou inexequível nunca tivesse sido incluída no documento.

17. Termination 
    1. Este contrato e as Cláusulas Contratuais Padrão serão rescindidos simultânea e automaticamente com a rescisão do Contrato Principal.

ANEXO 1

CLÁUSULAS CONTRATUAIS PADRÃO

Com relação às Cláusulas Contratuais Padrão, as Partes concordam que:

1. O Módulo 2 (Controlador-para-Processador) será aplicado quando a Sinch atuar como processador de dados do Cliente; o Módulo 3 (Processador-para-Processador) será aplicado quando a Sinch atuar como subprocessador do Cliente. Para cada módulo, quando aplicável:
2. A cláusula 7 (Cláusula de atracação) foi incorporada;
3. Para os fins da Cláusula 9.a) (Uso de subprocessadores), aplica-se a Opção 2: A autorização geral por escrito. O importador de dados tem a autorização geral do exportador de dados para a contratação de subprocessadores de uma lista acordada. O importador de dados deverá informar especificamente o exportador de dados, por escrito, sobre quaisquer alterações pretendidas nessa lista por meio da adição ou substituição de subprocessadores com pelo menos 30 (trinta) dias de antecedência;
4. A redação opcional da Cláusula 11 (Reparação) sobre órgãos de resolução independentes não foi incorporada;
5. Para os fins da Cláusula 13 (Supervisão), IMY, a Autoridade Sueca de Proteção de Dados (Integritetsskyddsmyndigheten) atuará como autoridade supervisora competente;
6. A Opção 1 da Cláusula 17 (Legislação aplicável) será aplicada e as leis da Suécia regerão as Cláusulas Contratuais Padrão;
7. Para os fins da Cláusula 18 (Escolha de foro e jurisdição), os tribunais da Suécia resolverão qualquer disputa decorrente das Cláusulas Contratuais Padrão;
8. O Anexo IA (Lista de Partes) e o Anexo IB (Descrição da Transferência) deverão ser preenchidos com as informações e detalhes especificados no Contrato Principal e listados no Parágrafo 3 do contrato;
9. O Anexo IB (Descrição da transferência) deve ser complementado com a especificação de que nenhum dado sensível será transferido. A frequência da transferência deve ser contínua. Para transferências para subprocessadores, o objeto, a natureza e a duração do processamento devem ser os mesmos do importador de dados;
10. Para os fins do Anexo IC, a autoridade supervisora competente, de acordo com a Cláusula 13, é a IMY, a Autoridade Sueca de Proteção de Dados (Integritetsskyddsmyndigheten);
11. Para fins do Anexo II, as medidas técnicas e organizacionais estão descritas no Anexo 2 do contrato;
12. Para fins do Anexo III, a Lista de Subprocessadores é mencionada na Cláusula 13 do contrato;
13. where the Restricted Transfer is subject to the Regulation as it forms part of the law of England and Wales, Scotland and Northern Ireland (UK GDPR), the Standard Contractual Clauses shall incorporate the UK Addendum completed as follows: 
    1. Para os fins da Tabela 1, a data de início é a data de assinatura do contrato e os detalhes das Partes devem ser preenchidos usando as informações e os detalhes especificados no Contrato Principal;
    2. Para os fins da Tabela 2, a versão das SCCs aprovadas da UE à qual o Adendo do Reino Unido está anexado é a das Cláusulas Contratuais Padrão, conforme preenchidas de acordo com este Anexo 1, sendo a data a data de vigência deste Adendo;
    3. Para fins da Tabela 3, as Informações do Apêndice são as descritas nos parágrafos (h) – (l) deste Anexo 1; e,
    4. Para os fins da Tabela 4, a entidade da Sinch atuando como Importador pode encerrar o Adendo do Reino Unido quando o Adendo Aprovado for alterado.

ANEXO 2

SEGURANÇA DA INFORMAÇÃO – MEDIDAS TÉCNICAS E ORGANIZACIONAIS

As Medidas Técnicas e Organizacionais incluídas neste Anexo são medidas aplicáveis ao(s) Serviço(s) fornecido(s) pela Sinch. Se necessário, para o Serviço, a Sinch poderá incluir outras medidas técnicas e organizacionais na Ordem de Serviço ou no Serviço

1) Inventário de informações e outros ativos associados   

Um inventário de informações e outros ativos associados, incluindo proprietários, é criado e mantido.  Um proprietário de ativo foi nomeado para cada ativo do inventário de acordo com a política de etiquetagem de ativos.

2) Informações de autenticação 

A alocação e o gerenciamento das informações de autenticação são controlados por um processo de gerenciamento, que inclui a orientação do pessoal sobre o manuseio adequado das informações de autenticação.

Em particular:

• Não limitar os caracteres permitidos que podem ser usados. 
• Ter senha com comprimento mínimo de 12 caracteres e complexidade obrigatória
• Não usar perguntas secretas como único requisito de redefinição de senha
• Exigir verificação por email de uma solicitação de alteração de senha
• Exigir a senha atual além da nova senha durante a alteração da senha 
• Verificar as senhas recém-criadas em relação a listas de senhas comuns ou bancos de dados de senhas vazadas  
• Verificar regularmente se as senhas de usuários existentes estão comprometidas
• Os segredos memorizados devem ser salgados e hash usando uma função de derivação de chave unidirecional adequada. 
• Impor o bloqueio adequado da conta e a proteção contra força bruta no acesso à conta; no máximo 5 acessos com falha, seguido por bloqueio da conta por 30 minutos 
• A última senha não deve ser reutilizada 
• MFA & SSO devem ser usados em todos os casos de uso

3) Direitos de acesso  

Os direitos de acesso às informações e a outros ativos associados são provisionados, revisados, modificados e removidos de acordo com a política específica do tópico e as regras de controle de acesso da organização.  

Em particular:

• Os direitos de acesso a escritórios, informações e sistemas são revisados trimestralmente.

4) Prontidão da Information and Communication Technology (ICT) para a continuidade dos negócios    

A prontidão da ICT é planejada, implementada, mantida e testada com base nos objetivos de continuidade dos negócios e nos requisitos de continuidade de ICT.   

Em particular:

• Todas as unidades de negócios têm um ou mais planos de recuperação de desastres especificamente alinhados com a oferta de produtos. 
• Os planos de recuperação de desastres são testados anualmente.  

5) Conscientização, educação e treinamento sobre segurança da informação

Pessoas da área da organização e as partes interessadas relevantes são conscientizadas e recebem educação e treinamento apropriados sobre segurança da informação e atualizações regulares da política de segurança da informação da organização, das políticas e dos procedimentos específicos do tópico, conforme relevante para sua função de trabalho. 

Em particular:

• Todos os funcionários concluíram o processo em até duas semanas após a data de início  
• Todos os funcionários receberam treinamento em ISA nos últimos 12 meses  
• O conteúdo do treinamento em ISA é atualizado a cada 12 meses  

6) Gerenciamento de capacidade   

O uso de recursos é monitorado e ajustado de acordo com os requisitos de capacidade atuais e esperados.   

7) Proteção contra malware   

A proteção contra malware é implementada e apoiada pela conscientização adequada do usuário.  Todos os dispositivos de endpoint devem ter detecção de endpoint EDR/XDR.

8) Gerenciamento de vulnerabilidades técnicas 

São obtidas informações sobre as vulnerabilidades técnicas dos sistemas de informação em uso, a exposição da Sinch a essas vulnerabilidades é avaliada e são tomadas as medidas adequadas.   

Em particular:

• Varredura de vulnerabilidade a cada 7 dias. 
• Aplica patches de segurança a todos os componentes da pilha de aplicativos com pontuação de gravidade superior a “Média”, conforme determinado pelo emissor do patch, dentro de um mês (30 dias) após o lançamento
• Teste manual de invasão blackbox realizado a cada 12 meses

9) Gerenciamento de configuração  

As configurações, inclusive as configurações de segurança, de hardware, software, serviços e redes são estabelecidas, documentadas, implementadas, monitoradas e revisadas de acordo com os seguintes padrões: NIST 800-53 e Controles CIS.

10) Backup de informações     

Cópias de backup de informações, software e sistemas são mantidas e testadas regularmente, de acordo com a política específica de tópicos acordada sobre backup.  

A rotina de backup pelo menos especifica:  

• Intervalos de backup (mínimo semanal)
• Requisitos de retenção
• Local para armazenamento de backup 
• Extensão do backup (por exemplo, dados, configurações, backup completo do sistema)
• Estratégia de backup (por exemplo, on-line versus off-line, número de backups, relação entre backup completo e incremental)
• Os testes de restauração de backup devem ser realizados, no mínimo, trimestralmente para sistemas críticos para os negócios e, no mínimo, anualmente para todos os outros

11)Atividades de monitoramento 

As redes, os sistemas e os aplicativos são monitorados quanto a comportamentos anômalos e as ações apropriadas são tomadas para avaliar possíveis incidentes de segurança da informação.  Redes, sistemas e aplicativos são monitorados quanto a comportamentos anômalos e mal-intencionados para detectar possíveis incidentes de segurança.     

12) Segurança de rede 

As redes e os dispositivos de rede são protegidos, gerenciados e controlados para proteger as informações em sistemas e aplicativos. 

Por exemplo:

• Dados criptografados em repouso em servidores, aplicativos e bancos de dados (mínimo AES256). Criptografe os dados em trânsito (TLS 1.2 ou superior).
• Registrar e monitorar adequadamente para permitir o registro e a detecção de ações que possam afetar ou sejam relevantes para a segurança das informações, inclusive EDR.
• O proprietário do produto deve manter a documentação atualizada, incluindo diagramas de rede e arquivos de configuração de dispositivos (por exemplo roteadores, switches).
• Fortalecimento dos dispositivos de rede
• Os canais de administração de rede são segregados de outro tráfego de rede

13) Gerenciamento do ciclo de vida do sistema 

São estabelecidas e aplicadas regras para o desenvolvimento seguro de software e sistemas.  

Por exemplo, na Sinch:

• O sistema é projetado de forma segura, utilizando modelagem de ameaças conforme necessário.
• Há um plano para manter o sistema de acordo com o controle de gerenciamento de vulnerabilidades 
• Há um proprietário do sistema
• Há um plano para substituir o sistema (política de legado zero)

14) Testes de segurança no desenvolvimento e na aceitação

Os processos de teste de segurança são definidos e implementados no ciclo de vida do desenvolvimento.  

• SAST e vulnerabilidade & varreduras de detecção de segredos em pipelines de CICD. Se possível, DAST 
• Nenhuma vulnerabilidade crítica ou alta foi corrigida antes de ser disponibilizada para os clientes
• Gerencie com segurança a infraestrutura de rede.  
• Todos os projetos seguem as listas de verificação de segurança da versão do produto 

15) Medidas para garantir a segurança física dos locais em que os dados pessoais são processados 

Medidas de segurança física e ambiental foram implementadas na Sinch.

Por exemplo, na Sinch:

• Os perímetros de segurança são definidos e usados para proteger áreas que contêm informações e outros ativos associados.
• As áreas seguras são protegidas por controles de entrada e pontos de acesso adequados.
• A segurança física de escritórios, salas e instalações é projetada e implementada.
• As instalações são continuamente monitoradas quanto ao acesso físico não autorizado.
• A proteção contra ameaças físicas e ambientais, como desastres naturais e outras ameaças físicas intencionais ou não intencionais à infraestrutura, é projetada e implementada.
• Medidas de segurança para trabalhar em áreas seguras são projetadas e implementadas.
• Regras claras de mesa para papéis e mídias de armazenamento removíveis e regras claras de tela para instalações de processamento de informações são definidas e aplicadas adequadamente.
• O equipamento está localizado de forma segura e protegida.
• Os ativos fora do local são protegidos.
• A mídia de armazenamento é gerenciada em todo o seu ciclo de vida de aquisição, uso, transporte e descarte, de acordo com o esquema de classificação e os requisitos de manuseio da organização.
• As instalações de processamento de informações são protegidas contra falhas de energia e outras interrupções causadas por falhas nos serviços públicos de apoio.
• Os cabos que transportam energia, dados ou serviços de informação de apoio são protegidos contra interceptação, interferência ou danos.
• Os equipamentos são mantidos corretamente para garantir a disponibilidade, a integridade e a confidencialidade das informações.
• Os itens de equipamento que contêm mídia de armazenamento são verificados para garantir que todos os dados confidenciais e softwares licenciados tenham sido removidos ou substituídos com segurança antes do descarte ou da reutilização.

A Sinch também aplicou um Sistema de Gerenciamento de Segurança da Informação (ISMS), de acordo com a norma ISO/IEC 27001:2022.

16) Medidas para garantir a retenção limitada de dados  

Foram implementadas medidas para garantir a retenção limitada de dados pessoais.

Por exemplo, a Sinch:

• Uma política de retenção de dados foi definida, estabelecendo claramente os tipos específicos de dados que serão coletados, por quanto tempo serão retidos e quando serão excluídos.
• Implementação de processos de exclusão automatizados. 
• Revisão e atualização regular da política de retenção.
• Limitação da coleta de dados apenas ao que é necessário para a finalidade comercial específica.
• Treinamento dos funcionários sobre retenção de dados.
• Revisão e monitoramento regular da retenção de dados
• Criptografia para proteger os dados que são retidos, para reduzir o risco de acesso ou divulgação não autorizados.  

17) Medidas para garantir a prestação de contas 

Medidas técnicas e organizacionais apropriadas foram implementadas para atender aos requisitos de responsabilidade.

Por exemplo, a Sinch:

• Adotou e implementou políticas de proteção de dados.
• Adotou uma abordagem de “proteção de dados por design e padrão”.  
• Estabeleceu contratos por escrito com organizações que processam dados pessoais em nome da Sinch.
• Documentou as atividades de processamento.
• Avaliou o impacto da proteção de dados.
• Nomeou um DPO grupal

18) Medidas para permitir a portabilidade de dados e garantir a exclusão  

Medidas para permitir o exercício dos direitos do titular dos dados são implementadas na Sinch.

Por exemplo, a Sinch:

• Apaga dados pessoais de sistemas de back-up e de sistemas ativos, quando necessário, e informa claramente ao indivíduo o que acontecerá com seus dados.
• Entra em contato com cada destinatário para informá-lo sobre a exclusão, se os dados pessoais forem divulgados a outros, a menos que isso seja impossível ou envolva um esforço desproporcional. Se os dados pessoais forem tornados públicos em um ambiente on-line, a organização tomará medidas razoáveis para informar a outros controladores, caso estejam processando esses dados, para que apaguem os links, as cópias ou a replicação desses dados.
• Informa ao titular dos dados quais terceiros receberam os dados pessoais, sempre que solicitado.
• Fornece dados pessoais em um formato estruturado, comumente usado e legível por máquina, quando solicitado. Sempre que possível e se um indivíduo solicitar, a organização pode transmitir diretamente as informações para outra organização.

19) Medidas para garantir a minimização de dados 

São implementadas medidas para minimizar a quantidade de dados processados.

Por exemplo, para cada atividade de processamento, a Sinch:

• Implementou medidas que garantem que a coleta de dados pessoais seja adequada, relevante e estritamente limitada ao que é necessário em relação às finalidades para as quais eles são processados.
• Avaliou que não pode alcançar os objetivos de sua atividade de processamento com dados menos invasivos à privacidade (por exemplo, trabalhando com dados menos granulares) ou um processo intrusivo (ou seja, usando meios menos intrusivos).
• Documentou os requisitos de cada campo de dados em relação à finalidade.

ANEXO 3

DESVIOS

1. Deviations. 
   1. For Customers and contracts in Brazil, in addition to what is agreed upon in this DPA, the established obligations will adopt the following word and guidelines: 
      1. The definitions highlighted below shall replace the ones used in this DPA: 
         1. “Categorias especiais de dados pessoais” significam dados pessoais sensíveis: isso significa dados relativos à origem racial ou étnica, crenças religiosas, opiniões políticas, filiação a um sindicato ou a organizações religiosas, filosóficas ou políticas, dados relativos à saúde ou à vida sexual de uma pessoa física, dados genéticos ou biométricos, quando relacionados a uma pessoa física.
         2. “Leis de Proteção de Dados Aplicáveis” significa a Lei Geral de Proteção de Dados do Brasil (Lei nº 13.709/2018) (“LGPD”) e o RGPD, conforme transposto para a legislação nacional de cada Estado Membro (e do Reino Unido) e conforme alterado, substituído ou suplantado de tempos em tempos, e as leis que implementam, substituem ou complementam o RGPD e todas as leis aplicáveis ao processamento dos Dados Pessoais do Cliente, incluindo a Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Código § 1798.100 et seq (“CCPA”).
         3. “Tratamento de Dados” significa qualquer operação realizada com dados pessoais, tais como as que se referem à coleta, produção, recebimento, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle de informações, modificação, comunicação, transferência, difusão ou extração.
         4. Os termos “consentimento”, “processador”, “controlador,” “titular dos dados”, “dados pessoais”, “processamento” e “autoridade nacional” terão os significados atribuídos a eles na LGPD. Na ausência de uma definição específica na LGPD, a definição contida no Artigo 4 do RGPD deverá ser adotada para os seguintes termos: “terceiro”, “violação de dados pessoais”, “subprocessador” e “autoridade(s) supervisora(s)” (ou “autoridade de controle”).
      2. A seção 3(b) deve adotar a seguinte redação:
         A Sinch somente processará os Dados Pessoais do Cliente para as seguintes finalidades (i) cumprir suas obrigações nos termos do Contrato Principal; (ii) o exercício regular de direitos, inclusive em contratos e em processos judiciais, administrativos e arbitrais; (iii) garantir a prevenção de fraudes e a segurança do titular dos dados; e (iv) de acordo com as instruções documentadas descritas neste contrato ou conforme instruído de outra forma pelo Cliente de tempos em tempos. Essas instruções do Cliente deverão ser documentadas no pedido aplicável, na descrição dos serviços, no ticket de suporte, em outra comunicação por escrito ou conforme orientado pelo Cliente usando os Serviços (por exemplo, por meio de uma API ou painel de controle).
      3. As disposições contidas na Cláusula 13(b) não se aplicam.
      4. A seção 6 (b) deve adotar a seguinte redação:
         Os procedimentos operacionais internos de ambas as partes deverão cumprir os requisitos específicos de um gerenciamento eficaz de Proteção de Dados e segurança de informações, incluindo, mas não se limitando a, gerenciamento de acesso, prevenção de fraudes e uso irregular dos serviços da Sinch.
   2. For Customers and contracts in Colombia, in addition to what is agreed upon in this DPA, the following is applicable concerning the definition of the term “Applicable Data Protection Laws” as well the processing and transfer of personal data:  
      1. “Leis de Proteção de Dados Aplicáveis” significa a Lei Estatutária Colombiana 1581 de 2012 e o Decreto Regulamentar 1377 de 2013, e outros regulamentos que alteram, substituem ou complementam o acima mencionado, bem como o RGPD, conforme transposto para a legislação nacional de cada Estado-Membro (e do Reino Unido) e conforme alterado, substituído ou substituído de tempos em tempos, e as leis que implementam, substituem ou complementam o RGPD e todas as leis aplicáveis ao processamento dos Dados Pessoais do Cliente, incluindo a Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Código § 1798.100 et seq (“CCPA”).
      2. “O Controlador reconhece que o Processador pode transferir, armazenar e processar Dados Pessoais para territórios fora da Colômbia, onde estarão sujeitos às leis das jurisdições estrangeiras em que são mantidos. O Controlador reconhece que possui todas as autorizações prévias necessárias dos titulares de dados e registros de bancos de dados que permitiriam ao Processador processar os dados dentro de bancos de dados e em países que atendam, no mínimo, aos mesmos padrões de proteção de dados (nível adequado de proteção) que os previstos nas leis colombianas (tais como, mas não se limitando a, Lei Estatutária 1581 de 2012, Decreto Regulamentar 1377 de 2013, Decreto N° 90 de 2018, a Circular Única da Superintendência de Indústria e Comércio e a Circular Externa Nº 005 de 2017 da Superintendência de Indústria e Comércio, e outras regulamentações que modifiquem, substituam ou complementem as mencionadas acima).”
   3. Para Clientes e contratos na Argentina, além do acordado neste contrato, aplica-se o seguinte com relação ao processamento e transferência de dados pessoais: o Cliente reconhece que possui toda a autorização prévia necessária dos titulares dos dados para o processamento e transferência de dados pessoais, incluindo dados sensíveis, se aplicável, para a SINCH. As partes reconhecem e concordam que o processamento de dados pessoais será realizado de acordo com a Lei nº 25.326 (“Lei de Proteção de Dados Pessoais da República Argentina”) e com as disposições e resoluções emitidas pela Agência de Acesso à Informação Pública. A transferência de dados pessoais para países ou organizações internacionais ou supranacionais somente será realizada para Destinatários que ofereçam níveis adequados de proteção.
   4. For Customers and contracts in Uruguay, in addition to what is agreed upon in this DPA, the following applies concerning the processing and transfer of personal data: 
      1. O Controlador reconhece que possui todas as autorizações prévias necessárias dos titulares dos dados e dos registros do banco de dados que permitiriam à Sinch processar dados pessoais e transferi-los e/ou transmiti-los para países que atendam, no mínimo, ao mesmo padrão de proteção de dados pessoais (nível adequado de proteção) previsto na legislação uruguaia, tais como, mas não se limitando a, Lei nº 18.331, Decreto Regulamentar nº 414/009 e Lei nº 19.670, e outros regulamentos que alterem, substituam ou complementem os mencionados acima.
      2. As disposições contidas na Cláusula 13(b) não se aplicam.
   5. Para Clientes e contratos no México, além do que foi acordado neste contrato, as definições destacadas abaixo substituirão as definições usadas neste contrato:
      “Leis de Proteção de Dados Aplicáveis” significa a Lei Federal Mexicana sobre a Proteção de Dados Pessoais Mantidos por Partes Privadas (“LFPDPPP”) e outros regulamentos que alteram, substituem ou complementam o acima mencionado, bem como o RGPD, conforme transposto para a legislação nacional de cada Estado-Membro (e do Reino Unido) e conforme alterado, substituído ou substituído de tempos em tempos, e as leis que implementam, substituem ou complementam o RGPD e todas as leis aplicáveis ao processamento dos Dados Pessoais do Cliente, incluindo a Lei de Privacidade do Consumidor da Califórnia de 2018, Cal. Civ. Código § 1798.100 et seq (“CCPA”).