Aditivo de tratamento de dados

Este aditivo de tratamento de dados (o “Aditivo”) integra o contrato (o “Contrato”) entre a ORBITRA ONE™ (o “Operador”) e o cliente institucional nele identificado (o “Cliente”) para os serviços do ORBITRA ONE™, e aplica-se a todos os Dados Pessoais do Cliente.

• Legislação de Proteção de Dados designa todas as leis sobre proteção de dados pessoais e privacidade aplicáveis ao tratamento realizado nos termos do Contrato.
• Dados Pessoais do Cliente designa os dados pessoais tratados pelo Operador em nome do Cliente nos termos do Contrato.
• Violação de Dados Pessoais designa uma violação de segurança que resulte na destruição, perda ou alteração acidental ou ilícita, ou na divulgação ou acesso não autorizados, de Dados Pessoais do Cliente.
• Suboperador designa um terceiro contratado pelo Operador para tratar Dados Pessoais do Cliente.
• Mecanismo de Transferência designa um mecanismo reconhecido pela Legislação de Proteção de Dados para a transferência internacional de dados pessoais, como uma decisão de adequação ou cláusulas contratuais-padrão.

Termos como controlador, operador, titular dos dados, dados pessoais, tratamento e autoridade de supervisão têm o significado atribuído pela Legislação de Proteção de Dados, ou o equivalente mais próximo quando essa legislação utilizar outros termos. Os termos com inicial maiúscula não definidos aqui têm o significado atribuído no Contrato.

O Cliente é o controlador e o Operador é o operador dos Dados Pessoais do Cliente. Quando o próprio Cliente atuar como operador em nome de um controlador terceiro, o Operador atua como seu suboperador, e o Cliente confirma que esse controlador autorizou as instruções do Cliente e a nomeação do Operador.

O Cliente é responsável pela licitude do tratamento que instrui, incluindo a existência de base legal e a prestação, aos titulares dos dados, das informações exigidas.

Este Aditivo não abrange os dados pessoais que a ORBITRA ONE™ trata como controladora independente — por exemplo, para diligência de clientes, verificação de sanções, vigilância de mercado, prevenção a fraudes, segurança ou o cumprimento de suas próprias obrigações legais e regulatórias. Esse tratamento é descrito na política de privacidade e no aviso de privacidade do produto aplicável.

• Objeto — a prestação dos serviços do ORBITRA ONE™ nos termos do Contrato, tais como o acesso institucional ao Orbitra Prime, a gestão de subcontas e permissões, as interfaces de execução e relatórios, e o suporte relacionado.
• Duração — o prazo do Contrato, juntamente com qualquer período posterior durante o qual os Dados Pessoais do Cliente sejam devolvidos ou excluídos nos termos deste Aditivo.
• Natureza — coleta, armazenamento, recuperação, uso, transmissão, exclusão e demais operações necessárias à prestação dos serviços.
• Finalidade — exclusivamente prestar, proteger, apoiar e manter os serviços de acordo com as instruções documentadas do Cliente.

Os titulares de dados podem incluir funcionários, negociadores, usuários autorizados, dirigentes, contratados e agentes do Cliente e, quando o Cliente utilizar os serviços em nome deles, seus próprios clientes ou usuários finais.

Os Dados Pessoais do Cliente podem incluir dados de identificação e contato, funções e permissões, registros de login e acesso, identificadores de dispositivo e rede, comunicações, e dados de conta, ordens, transações e endereços de carteira vinculados a usuários identificados.

Não se pretende tratar categorias especiais de dados pessoais. O Cliente não fornecerá esses dados, salvo se as partes tiverem acordado, por escrito, salvaguardas adicionais.

O Operador irá:

• tratar os Dados Pessoais do Cliente somente de acordo com as instruções documentadas do Cliente, inclusive quanto a transferências internacionais, salvo quando a lei exigir de outra forma — caso em que informará previamente o Cliente, a menos que a lei proíba fazê-lo;
• informar o Cliente caso, em sua avaliação, uma instrução infrinja a Legislação de Proteção de Dados;
• não vender nem compartilhar os Dados Pessoais do Cliente, nem retê-los, utilizá-los ou divulgá-los para qualquer finalidade distinta da prestação dos serviços;
• aplicar as medidas de segurança descritas neste Aditivo;
• auxiliar o Cliente, considerando a natureza do tratamento e as informações à sua disposição, nas avaliações de impacto à proteção de dados e nas consultas prévias a autoridades de supervisão;
• disponibilizar as informações necessárias para demonstrar a conformidade com este Aditivo.

O Operador garante que todas as pessoas autorizadas a tratar os Dados Pessoais do Cliente estejam vinculadas a um dever de confidencialidade adequado, recebam treinamento apropriado em proteção de dados e tenham acesso apenas aos dados necessários à sua função.

O Operador implementa medidas técnicas e organizacionais apropriadas ao risco, considerando o estado da técnica, os custos de implementação, a natureza, o alcance, o contexto e as finalidades do tratamento, e os riscos para os titulares dos dados. Elas incluem:

• criptografia de dados em trânsito e em repouso, com gestão de chaves sob controles baseados em MPC ou HSM, quando apropriado;
• acesso baseado em função, privilégio mínimo, autenticação multifator e aprovação dupla (quatro olhos) para operações sensíveis;
• segregação de ambientes, funções e dados de clientes dentro de uma arquitetura de rede de confiança zero;
• registro, monitoramento e alertas para acessos anômalos;
• práticas seguras de desenvolvimento, varredura de dependências e segredos, e lançamentos assinados;
• procedimentos de backup e recuperação testados periodicamente;
• testes e avaliações regulares da eficácia dessas medidas.

O Operador pode atualizar suas medidas, desde que o nível geral de proteção não seja reduzido.

O Cliente concede autorização geral para que o Operador contrate suboperadores. O Operador mantém uma lista dos suboperadores atuais e a disponibiliza ao Cliente mediante solicitação.

O Operador notificará o Cliente antes de incluir ou substituir um suboperador. O Cliente pode se opor por motivos razoáveis de proteção de dados dentro do prazo indicado na notificação. As partes discutirão qualquer objeção de boa-fé; caso não seja possível resolvê-la, o Cliente poderá rescindir os serviços afetados, sem penalidade, como seu único remédio.

Cada suboperador está vinculado a um contrato escrito que impõe obrigações de proteção de dados não menos protetoras do que as previstas neste Aditivo. O Operador permanece responsável perante o Cliente pelo cumprimento dessas obrigações por cada suboperador.

O Operador e seus suboperadores transferem os Dados Pessoais do Cliente através de fronteiras somente em conformidade com a Legislação de Proteção de Dados. Quando uma transferência exigir um Mecanismo de Transferência, o mecanismo apropriado — incluindo quaisquer cláusulas contratuais-padrão na forma exigida pela autoridade competente — é incorporado a este Aditivo por referência, juntamente com quaisquer medidas suplementares necessárias para proteger os dados.

O Operador informará o Cliente se deixar de atender aos requisitos de um Mecanismo de Transferência aplicável.

Considerando a natureza do tratamento, o Operador auxilia o Cliente por meio de medidas técnicas e organizacionais apropriadas, na medida do possível, a responder a solicitações de titulares de dados para o exercício de seus direitos.

Se o Operador receber diretamente uma dessas solicitações, ele a encaminhará prontamente ao Cliente e não responderá a ela, exceto para remeter o titular dos dados ao Cliente, salvo instrução do Cliente em sentido contrário ou exigência legal.

O Operador notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais.

A notificação descreverá, na medida em que as informações estejam disponíveis, a natureza da violação, as categorias e o número aproximado de titulares de dados e registros envolvidos, as consequências prováveis, e as medidas adotadas ou propostas para tratar a violação e mitigar seus efeitos. As informações não disponíveis de imediato serão fornecidas em etapas, conforme forem obtidas.

O Operador tomará medidas razoáveis para conter e investigar a violação e cooperará com o Cliente no cumprimento de suas obrigações de notificar autoridades de supervisão e titulares de dados. A notificação não constitui reconhecimento de culpa ou responsabilidade.

O Operador disponibiliza as informações razoavelmente necessárias para demonstrar a conformidade com este Aditivo, que podem incluir resumos de avaliações ou certificações independentes, quando existirem.

Quando essas informações forem insuficientes, ou quando uma autoridade de supervisão assim o exigir, o Cliente poderá realizar uma auditoria ou inspeção, diretamente ou por meio de um auditor independente vinculado por confidencialidade. As auditorias ocorrem com aviso prévio razoável, com alcance e cronograma acordados antecipadamente, e sem interromper os serviços ou comprometer a segurança ou a confidencialidade de outros clientes. Cada parte arca com seus próprios custos de auditoria, salvo se a auditoria revelar uma violação material pelo Operador.

Quando os serviços terminarem, o Operador, conforme a escolha do Cliente, excluirá ou devolverá os Dados Pessoais do Cliente e excluirá as cópias existentes, salvo se a lei exigir sua retenção. O Cliente pode manifestar sua escolha por instrução escrita ou por meio das ferramentas de exportação disponíveis antes do término dos serviços.

Os dados que a lei exigir que o Operador retenha permanecem protegidos por este Aditivo e são tratados apenas para a finalidade que exige sua retenção. As cópias de backup são excluídas conforme expiram em seu ciclo normal.

A responsabilidade de cada parte decorrente ou relacionada a este Aditivo está sujeita às limitações e exclusões de responsabilidade previstas no Contrato, exceto quando a Legislação de Proteção de Dados não as permitir. Nada neste Aditivo limita a responsabilidade de qualquer parte perante os titulares de dados nos termos da Legislação de Proteção de Dados.

Este Aditivo é regido pela legislação que rege o Contrato, exceto quando a Legislação de Proteção de Dados ou um Mecanismo de Transferência exigir que obrigações específicas sejam regidas por outra legislação. As controvérsias são resolvidas de acordo com as disposições de resolução de disputas do Contrato.

Em caso de conflito entre os documentos, aplica-se a seguinte ordem:

• qualquer Mecanismo de Transferência incorporado a este Aditivo;
• este Aditivo;
• o Contrato.

Nada neste Aditivo reduz as obrigações de qualquer parte nos termos da Legislação de Proteção de Dados. Dúvidas sobre este Aditivo, e solicitações de uma cópia para assinatura, podem ser enviadas para hello@orbitraone.com ou hello@orbitraone.com.