Proteção de Dados Pessoais

1. Para a execução do objeto do Contrato e eventuais Aditivos, o tratamento de dados pessoais pelas Partes deverá ser efetuado em conformidade com as legislações, regulamentações e princípios que norteiam a privacidade e proteção de dados pessoais, em particular a Lei Geral de Proteção de Dados, Lei n° 13.709/2018 (“LGPD”).
2. As Partes no curso das atividades de tratamento de dados pessoais decorrentes da execução do Contrato, assumirão responsabilidades como agentes de tratamento, sendo a CONTRATANTE o Operador dos Dados e a CONTRATADA o Sub-Operador.
3. As Partes garantem que toda e qualquer operação realizada com dados pessoais será de acordo com as instruções e decisões do Controlador dos Dados.
4. A CONTRATADA deverá, sob comando da CONTRATANTE ou quando da extinção do vínculo contratual e obrigacional existente, por qualquer motivo, cessar o tratamento dos dados pessoais compartilhados em razão das finalidades previamente pactuadas e realizar a sua exclusão definitiva e permanente, exceto quando a retenção dos dados for expressamente exigido em lei.
5. Em atenção aos princípios da necessidade, adequação e da qualidade do tratamento dos dados pessoais, as Partes se comprometem a tratar os dados apenas quando estritamente necessário para a execução das atividades contratadas.
6. A CONTRATADA se compromete a não transferir e/ou compartilhar com terceiros, incluindo subcontratados, agentes autorizados e afiliados, os dados pessoais tratados em razão da presente relação contratual, salvo expressamente autorizado pela CONTRATANTE. 6.1. A CONTRATADA deverá, em relação ao terceiro autorizado: a. Preservar a integridade e precisão dos dados pessoais compartilhados; b. Verificar se o terceiro possui condições de garantir um nível de proteção de dados pessoais adequado; c. Celebrar, por escrito, contrato garantindo a mesma proteção de dados pessoais estabelecidos no presente Instrumento; d. Ser responsável por todas ações e omissões do terceiro em relação ao tratamento de dados pessoais, como se a própria CONTRATADA as tivesse realizado.
7. Em atenção aos princípios da transparência e segurança, as Partes se comprometem a manter um programa de governança de dados pessoais e segurança da informação, e dispor de meios técnicos e administrativos razoáveis e atualizados para garantir a confidencialidade, integridade e disponibilidade dos dados pessoais objeto de tratamento.
8. As Partes deverão cooperar em caso de qualquer incidente e dispor de um Relatório de Incidentes de Dados Pessoais para casos de ocorrência de eventos que comprometam a segurança da proteção dos dados pessoais tratados, como destruição, perda, alteração, divulgação ou acesso não autorizado, de forma acidental ou ilícita, a dados pessoais transmitidos, armazenados ou processados. 8.1. O Relatório de Incidentes de Dados Pessoais deverá conter: a. data e hora da ocorrência do incidente; b. data e hora da ciência do incidente pelo agente de tratamento; c. relação dos tipos de dados afetados pelo incidente; d. números de titulares afetados e, se possível, a relação dos titulares; e. dados de contato do Encarregado de Dados do agente de tratamento; f. descrição das possíveis consequências do evento. 8.2. Para os incidentes ocorridos no ambiente da CONTRATADA, esta ficará responsável por elaborar o Relatório de Incidentes de Dados Pessoais, em até 24 (vinte e quatro) horas, adotando as medidas descritas na cláusulas 8.1 e encaminhar a documentação correspondente ao Encarregado de Dados da CONTRATANTE. 8.3. Caso a CONTRATANTE assuma algum ônus em decorrência de incidentes de dados pessoais ocorridos no ambiente da CONTRATADA ou de terceiros por esta contratados, independente de culpa ou dolo, a CONTRATANTE poderá exercer o direito de regresso perante a CONTRATADA, ficando o Contrato, anexos e eventuais aditivos constituídos como título executivo extrajudicial.
9. A CONTRATADA concorda em defender, auxiliar e indenizar a CONTRATANTE no caso de reclamações, danos, despesas, multas aplicadas ou qualquer outra situação que exija pagamento de valores pecuniários, desde que, os eventos tenham relação com: a. Uma falha ou negligência da CONTRATADA, ou de terceiros por esta contratados, em cumprir com as disposições impostas neste Instrumento; b. qualquer exposição, acidental ou proposital, de dados ocorridos no ambiente da CONTRATADA ou de terceiros por esta contratados.
10. Com a celebração do presente Instrumento, a CONTRATADA declara estar ciente e autoriza a CONTRATANTE, mediante prévia notificação de até 10 (dez) dias, a conduzir auditorias em seus sistemas e/ou procedimentos internos relacionados ao programa de privacidade e governança de dados pessoais, podendo ser conduzido pela CONTRATANTE, suas afiliadas e parceiras, ou terceiros contratados para esta finalidade. 10.1. Quando da realização das auditorias, deverá a CONTRATADA garantir: a. pleno acesso às instalações e arquivos de informações (físicos ou eletrônicos); b. pleno apoio de seus funcionários para a condução das diligências necessárias. 10.2. Na hipótese de identificação de inconsistências ou irregularidades quando da condução das auditorias, deverá a CONTRATADA providenciar a imediata remediação, comprovando a CONTRATANTE, em prazo não superior a 20 (vinte) dias, as medidas mitigadoras adotadas. 10.3. No caso de auditorias realizadas por terceiros contratados, as Partes concordam em celebrar um contrato, o qual exigirá que o terceiro: a. Use qualquer informação confidencial da CONTRATADA somente para fins de inspeção ou auditoria; b. Mantenha as informações confidenciais da CONTRATADA protegidas; c. Trate os dados pessoais em observância às regras estabelecidas no presente Instrumento, e em conformidade com a Lei Geral de Proteção de Dados.
11. Não obstante qualquer disposição em contrário, as obrigações da Partes definidas neste Instrumento perdurarão enquanto a CONTRATADA continuar a ter acesso, estiver na posse, adquirir ou realizar qualquer atividade de tratamento de dados pessoais, obtidos em razão da relação contratual com a CONTRATANTE, mesmo que todos os contratos entre as Partes estiverem expirado ou sido rescindidos. 11.1. A PARTE PREJUDICADA terá o direito de ser reembolsada pela PARTE RESPONSÁVEL por quaisquer perdas, danos, multas, custos ou despesas (incluindo despesas e desembolsos legais) incorridos pela PARTE PREJUDICADA e que resultem de uma violação de dados pessoais ou falha na adoção de medidas de segurança, exigidas pelo Artigo 46 da LGPD ou da violação de algum item deste Anexo, em relação a quaisquer dados pessoais tratados em conexão com a relação contratual.
12. As Partes se comprometem a atuar de forma conjunta nas atividades de tratamento de dados pessoais contempladas pelo presente Instrumento e estabelecem que toda e qualquer comunicação se dará por escrito, a ser encaminhada aos endereços eletrônicos: CONTRATANTE - privacidade@magazineluiza.com.br