APÊNDICE II: Cláusulas contratuais padrão aprovadas pela Comissão Europeia (Módulo 4)

SEÇÃO I

Cláusula 1

Finalidade e escopo

1. A finalidade destas cláusulas contratuais padrão é garantir o cumprimento dos requisitos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas naturais no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral de Proteção de Dados), para a transferência de dados pessoais para um país terceiro.
2. As Partes:
   • a(s) pessoa(s) natural(is) ou jurídica(s), autoridade(s) pública(s), agência(s) ou outro(s) órgão(s) (a seguir "entidade(s)") que transferem os dados pessoais, conforme listado no Anexo I.A (a seguir "exportador de dados"); e
   • a(s) entidade(s) em um país terceiro que recebe(m) os dados pessoais do exportador de dados, direta ou indiretamente via outra entidade também Parte destas Cláusulas, conforme listado no Anexo I.A. (a seguir "importador de dados"), concordaram com estas cláusulas contratuais padrão (a seguir: "Cláusulas").
3. Estas Cláusulas se aplicam no que diz respeito à transferência de dados pessoais conforme especificado no Anexo I.B.
4. O Apêndice destas Cláusulas, contendo os Anexos nele referidos, constitui parte integrante destas Cláusulas.

Cláusula 2

Efeito e invariabilidade das Cláusulas

1. Estas Cláusulas estabelecem salvaguardas adequadas, incluindo direitos oponíveis dos titulares dos dados e meios jurídicos efetivos de reparação, nos termos dos Artigos 46(1) e 46(2)(c) do Regulamento (UE) 2016/679 e, no que diz respeito às transferências de dados de controladores para operadores e/ou de operadores para operadores, cláusulas contratuais padrão nos termos do Artigo 28(7) do Regulamento (UE) 2016/679, desde que não sejam modificadas, exceto para a seleção do(s) Módulo(s) apropriado(s) ou para a adição ou atualização de informações no Apêndice. Isso não impede que as Partes incluam as cláusulas contratuais padrão estabelecidas nestas Cláusulas em um contrato mais amplo e/ou adicionem outras cláusulas ou salvaguardas adicionais, desde que não entrem em conflito, direta ou indiretamente, com estas Cláusulas nem prejudiquem os direitos ou liberdades fundamentais dos titulares dos dados.
2. Estas Cláusulas não prejudicam as obrigações às quais o exportador de dados está sujeito em virtude do Regulamento (UE) 2016/679.

Cláusula 3

Terceiros beneficiários

1. Os titulares dos dados poderão invocar e fazer cumprir estas Cláusulas, na qualidade de terceiros beneficiários, contra o exportador de dados e/ou o importador de dados, com as seguintes exceções:
   • Cláusulas 1, 2, 3, 6 e 7.
   • Cláusula 8: cláusula 8.1, alínea b), e cláusula 8.3, alínea b).
   • Cláusula 13.
2. O parágrafo (a) não prejudica os direitos dos titulares dos dados nos termos do Regulamento (UE) 2016/679.

Cláusula 4

Interpretação

1. Quando estas Cláusulas utilizarem termos definidos no Regulamento (UE) 2016/679, tais termos terão o mesmo significado atribuído por esse Regulamento.
2. Estas Cláusulas devem ser lidas e interpretadas à luz das disposições do Regulamento (UE) 2016/679.
3. Estas Cláusulas não devem ser interpretadas de forma a conflitar com os direitos e obrigações previstos no Regulamento (UE) 2016/679.

Cláusula 5

Hierarquia

Em caso de contradição entre estas Cláusulas e as disposições de acordos relacionados entre as Partes, existentes no momento em que estas Cláusulas são acordadas ou celebradas posteriormente, estas Cláusulas prevalecerão.

Cláusula 6

Descrição da transferência(s)

Os detalhes da(s) transferência(s) e, em particular, as categorias de dados pessoais transferidos e a(s) finalidade(s) para as quais são transferidos estão especificados no Anexo I.B.

Cláusula 7

Cláusula de adesão

1. Uma entidade que não seja Parte destas Cláusulas pode, mediante acordo das Partes, aderir a estas Cláusulas a qualquer momento, seja como exportador de dados ou como importador de dados, mediante o preenchimento do Apêndice e a assinatura do Anexo I.A.
2. Uma vez preenchido o Apêndice e assinado o Anexo I.A, a entidade aderente passará a ser Parte destas Cláusulas e terá os direitos e obrigações de exportador de dados ou importador de dados, de acordo com a sua designação no Anexo I.A.
3. A entidade aderente não terá quaisquer direitos ou obrigações decorrentes destas Cláusulas referentes ao período anterior à sua adesão como Parte.

SEÇÃO II: OBRIGAÇÕES DAS PARTES

Cláusula 8

Salvaguardas de proteção de dados

O exportador de dados garante que envidou esforços razoáveis para determinar que o importador de dados é capaz, por meio da implementação de medidas técnicas e organizacionais adequadas, de cumprir as suas obrigações previstas nestas Cláusulas.

8.1. Instruções.

1. O exportador de dados deverá tratar os dados pessoais apenas mediante instruções documentadas do importador de dados, atuando este como o seu controlador.
2. O exportador de dados deverá informar imediatamente o importador de dados caso não consiga seguir tais instruções, inclusive se tais instruções violarem o Regulamento (UE) 2016/679 ou outras leis de proteção de dados da União Europeia ou de Estados-Membros.
3. O importador de dados deverá abster-se de qualquer ação que impeça o exportador de dados de cumprir as suas obrigações nos termos do Regulamento (UE) 2016/679, inclusive no contexto de subcontratação do tratamento ou no que se refere à cooperação com autoridades de controle competentes.
4. Após o término da prestação dos serviços de tratamento, o exportador de dados deverá, a critério do importador de dados, excluir todos os dados pessoais tratados em nome do importador de dados e certificar ao importador de dados que assim o fez, ou devolver ao importador de dados todos os dados pessoais tratados em seu nome e excluir as cópias existentes.

8.2. Segurança do tratamento.

1. As Partes deverão implementar medidas técnicas e organizacionais adequadas para garantir a segurança dos dados, inclusive durante a transmissão, bem como a proteção contra violações de segurança que resultem em destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso não autorizado (doravante "violação de dados pessoais"). Ao avaliar o nível adequado de segurança, as Partes deverão levar devidamente em consideração o estado da técnica, os custos de implementação, a natureza dos dados pessoais, a natureza, o escopo, o contexto e a(s) finalidade(s) do tratamento e os riscos envolvidos no tratamento para os titulares dos dados, e, em particular, considerar o uso de criptografia ou pseudonimização, inclusive durante a transmissão, sempre que a finalidade do tratamento puder ser cumprida dessa forma.
2. O exportador de dados deverá auxiliar o importador de dados a garantir a segurança adequada dos dados, nos termos do parágrafo (a). Em caso de violação de dados pessoais envolvendo os dados pessoais tratados pelo exportador de dados no âmbito destas Cláusulas, o exportador de dados deverá notificar o importador de dados sem demora injustificada após tomar conhecimento do ocorrido e auxiliar o importador de dados na resposta à violação.
3. O exportador de dados deverá garantir que as pessoas autorizadas a tratar os dados pessoais tenham assumido um compromisso de confidencialidade ou estejam sujeitas a uma obrigação legal adequada de confidencialidade.

8.3. Documentação e conformidade.

1. As Partes deverão ser capazes de demonstrar o cumprimento destas Cláusulas.
2. O exportador de dados deverá disponibilizar ao importador de dados todas as informações necessárias para demonstrar o cumprimento das suas obrigações nos termos destas Cláusulas e permitir e contribuir para auditorias.

Cláusula 9

Direitos dos titulares dos dados

As Partes deverão auxiliar-se mutuamente no atendimento a consultas e solicitações feitas pelos titulares dos dados, nos termos da legislação local aplicável ao importador de dados ou, no caso de tratamento de dados pelo exportador de dados na União Europeia, nos termos do Regulamento (UE) 2016/679.

Cláusula 10

Reparação

O importador de dados deverá informar os titulares dos dados, de forma transparente e de fácil acesso, por meio de notificação individual ou no seu site, sobre um ponto de contato autorizado a tratar reclamações. Deverá tratar prontamente quaisquer reclamações recebidas de um titular de dados.

Cláusula 11

Responsabilidade

1. Cada Parte será responsável perante a(s) outra(s) Parte(s) por quaisquer danos que causar à(s) outra(s) Parte(s) em decorrência de qualquer violação destas Cláusulas.
2. Cada Parte será responsável perante o titular dos dados, e o titular dos dados terá direito a receber indenização, por quaisquer danos materiais ou imateriais que a Parte lhe causar em decorrência da violação dos direitos de terceiro beneficiário previstos nestas Cláusulas. Isso não prejudica a responsabilidade atribuída ao exportador de dados pelo Regulamento (UE) 2016/679.
3. Quando mais de uma Parte for responsável por quaisquer danos causados ao titular dos dados em decorrência de violação destas Cláusulas, todas as Partes responsáveis serão solidariamente responsáveis.
4. As Partes concordam que, se uma Parte for considerada responsável nos termos do parágrafo (c), terá o direito de exigir da(s) outra(s) Parte(s) a parte da indenização correspondente à responsabilidade desta(s) pelo dano.
5. O importador de dados não poderá invocar a conduta de um operador ou suboperador para se eximir da sua própria responsabilidade.

SEÇÃO III: LEIS LOCAIS E OBRIGAÇÕES EM CASO DE ACESSO POR AUTORIDADES PÚBLICAS

Cláusula 12

Leis e práticas locais que afetam o cumprimento destas Cláusulas

1. As Partes garantem que não têm motivos para acreditar que as leis e práticas do país terceiro de destino aplicáveis ao tratamento dos dados pessoais pelo importador dos dados, incluindo quaisquer exigências de divulgação de dados pessoais ou medidas que autorizem o acesso por autoridades públicas, impeçam o importador dos dados de cumprir as suas obrigações sob estas Cláusulas. Isso se baseia no entendimento de que leis e práticas que respeitam a essência dos direitos e liberdades fundamentais e não excedem o que é necessário e proporcional em uma sociedade democrática para salvaguardar um dos objetivos listados no Artigo 23(1) do Regulamento (UE) 2016/679 não estão em contradição com estas Cláusulas.
2. As Partes declaram que, ao prestar a garantia prevista no parágrafo (a), levaram devidamente em consideração, em particular, os seguintes elementos:
   • as circunstâncias específicas da transferência, incluindo a extensão da cadeia de tratamento, o número de agentes envolvidos e os canais de transmissão utilizados; transferências subsequentes pretendidas; o tipo de destinatário; a finalidade do tratamento; as categorias e o formato dos dados pessoais transferidos; o setor econômico no qual a transferência ocorre; a localização de armazenamento dos dados transferidos;
   • as leis e práticas do país terceiro de destino, incluindo aquelas que exigem a divulgação de dados a autoridades públicas ou autorizam o acesso por tais autoridades, relevantes à luz das circunstâncias específicas da transferência, bem como as limitações e salvaguardas aplicáveis;
   • quaisquer salvaguardas contratuais, técnicas ou organizacionais relevantes implementadas para complementar as salvaguardas previstas nestas Cláusulas, incluindo medidas aplicadas durante a transmissão e ao tratamento dos dados pessoais no país de destino.
3. O importador de dados garante que, ao realizar a avaliação nos termos do parágrafo (b), envidou os seus melhores esforços para fornecer ao exportador de dados as informações relevantes e concorda em continuar cooperando com o exportador de dados para assegurar o cumprimento destas Cláusulas.
4. As Partes concordam em documentar a avaliação prevista no parágrafo (b) e disponibilizá-la à autoridade de controle competente, mediante solicitação.
5. O importador de dados concorda em notificar prontamente o exportador de dados caso, após ter concordado com estas Cláusulas e durante a vigência do contrato, tenha motivos para acreditar que está ou passou a estar sujeito a leis ou práticas que não estejam em conformidade com os requisitos do parágrafo (a), inclusive em razão de alteração nas leis do país terceiro ou de uma medida (como uma solicitação de divulgação) que indique a aplicação, na prática, de tais leis de forma não compatível com os requisitos do parágrafo (a).
6. Após uma notificação nos termos do parágrafo (e), ou se o exportador de dados tiver, de outra forma, motivos para acreditar que o importador de dados já não pode cumprir as suas obrigações previstas nestas Cláusulas, o exportador de dados deverá identificar prontamente medidas adequadas (por exemplo, medidas técnicas ou organizacionais para garantir a segurança e a confidencialidade) a serem adotadas pelo exportador de dados e/ou pelo importador de dados para resolver a situação. O exportador de dados deverá suspender a transferência de dados se considerar que não podem ser asseguradas salvaguardas adequadas para tal transferência, ou se assim for instruído pela autoridade de controle competente. Nesse caso, o exportador de dados terá o direito de rescindir o contrato, na medida em que este se refira ao tratamento de dados pessoais no âmbito destas Cláusulas. Se o contrato envolver mais de duas Partes, o exportador de dados poderá exercer esse direito de rescisão apenas em relação à Parte relevante, salvo acordo em contrário entre as Partes. Quando o contrato for rescindido nos termos desta Cláusula, as cláusulas 16(d) e (e) serão aplicáveis.

Cláusula 13

Obrigações do importador de dados em caso de acesso por autoridades públicas

13.1. Notificação.

1. O importador de dados concorda em notificar prontamente o exportador de dados e, quando possível, o titular dos dados (se necessário com a ajuda do exportador de dados) caso:
   • receba uma solicitação juridicamente vinculante de uma autoridade pública, incluindo autoridades judiciais, sob as leis do país de destino, para a divulgação de dados pessoais transferidos nos termos destas Cláusulas; tal notificação deverá incluir informações sobre os dados pessoais solicitados, a autoridade solicitante, a base legal da solicitação e a resposta fornecida; ou
   • tenha conhecimento de qualquer acesso direto por autoridades públicas aos dados pessoais transferidos nos termos destas Cláusulas, em conformidade com as leis do país de destino; tal notificação deverá incluir todas as informações disponíveis ao importador.
2. Se o importador de dados estiver proibido de notificar o exportador de dados e/ou o titular dos dados, nos termos das leis do país de destino, o importador de dados concorda em envidar os seus melhores esforços para obter a dispensa dessa proibição, com o objetivo de comunicar o máximo de informações possível, o mais rapidamente possível. O importador de dados concorda em documentar os seus melhores esforços, a fim de poder demonstrá-los mediante solicitação do exportador de dados.
3. Quando permitido pelas leis do país de destino, o importador de dados concorda em fornecer ao exportador de dados, em intervalos regulares durante a vigência do contrato, o máximo possível de informações relevantes sobre as solicitações recebidas (em particular, número de solicitações, tipo de dados solicitados, autoridade(s) solicitante(s), se as solicitações foram contestadas e o resultado de tais contestações etc.).
4. O importador de dados concorda em preservar as informações nos termos dos parágrafos (a) a (c) durante a vigência do contrato e disponibilizá-las à autoridade de controle competente, mediante solicitação.
5. Os parágrafos (a) a (c) não prejudicam a obrigação do importador de dados, nos termos da Cláusula 14(e) e da Cláusula 16, de informar prontamente o exportador de dados caso não consiga cumprir estas Cláusulas.

13.2. Revisão da legalidade e minimização de dados.

1. O importador de dados concorda em revisar a legalidade da solicitação de divulgação, em particular se ela permanece dentro dos poderes conferidos à autoridade pública solicitante, e em contestar a solicitação se, após avaliação cuidadosa, concluir que existem motivos razoáveis para considerar que a solicitação é ilícita sob as leis do país de destino, incluindo as obrigações aplicáveis nos termos do direito internacional e os princípios de cortesia internacional. O importador de dados deverá, nas mesmas condições, buscar possibilidades de recurso. Ao contestar uma solicitação, o importador de dados deverá buscar medidas cautelares com o objetivo de suspender os efeitos da solicitação até que a autoridade judicial competente tenha decidido sobre o mérito. Não deverá divulgar os dados pessoais solicitados até que seja obrigado a fazê-lo nos termos das regras processuais aplicáveis. Esses requisitos não prejudicam as obrigações do importador de dados nos termos da Cláusula 14(e).
2. O importador de dados concorda em documentar a sua avaliação jurídica e qualquer contestação à solicitação de divulgação e, na medida do permitido pelas leis do país de destino, disponibilizar a documentação ao exportador de dados. Deverá também disponibilizá-la à autoridade de controle competente, mediante solicitação.
3. O importador de dados concorda em fornecer a quantidade mínima de informações permitida ao responder a uma solicitação de divulgação, com base em uma interpretação razoável da solicitação.

SEÇÃO IV: DISPOSIÇÕES FINAIS

Cláusula 14

Não cumprimento das Cláusulas e rescisão

1. O importador de dados deverá informar prontamente o exportador de dados caso não consiga cumprir estas Cláusulas, por qualquer motivo.
2. Caso o importador de dados viole estas Cláusulas ou não consiga cumpri-las, o exportador de dados deverá suspender a transferência de dados pessoais ao importador de dados até que o cumprimento seja novamente assegurado ou o contrato seja rescindido. Isso não prejudica a Cláusula 14(f).
3. O exportador de dados terá o direito de rescindir o contrato, na medida em que este se refira ao tratamento de dados pessoais no âmbito destas Cláusulas, quando:
   • o exportador de dados tiver suspendido a transferência de dados pessoais ao importador de dados nos termos do parágrafo (b) e o cumprimento destas Cláusulas não for restabelecido dentro de um prazo razoável e, em qualquer caso, dentro de um mês a contar da suspensão;
   • o importador de dados estiver em violação substancial ou persistente destas Cláusulas; ou
   • o importador de dados deixar de cumprir uma decisão vinculante de um tribunal competente ou de uma autoridade de controle competente relativa às suas obrigações nos termos destas Cláusulas.

   Nesses casos, deverá informar a autoridade de controle competente sobre tal não cumprimento. Quando o contrato envolver mais de duas Partes, o exportador de dados poderá exercer esse direito de rescisão apenas em relação à Parte relevante, salvo acordo em contrário entre as Partes.

4. Os dados pessoais coletados pelo exportador de dados na União Europeia que tenham sido transferidos antes da rescisão do contrato, nos termos do parágrafo (c), deverão ser imediatamente excluídos na sua totalidade, incluindo quaisquer cópias. O importador de dados deverá certificar ao exportador de dados a exclusão dos dados. Até que os dados sejam excluídos ou devolvidos, o importador de dados deverá continuar a assegurar o cumprimento destas Cláusulas. No caso de leis locais aplicáveis ao importador de dados que proíbam a devolução ou a exclusão dos dados pessoais transferidos, o importador de dados garante que continuará a assegurar o cumprimento destas Cláusulas e que apenas tratará os dados na medida e pelo tempo exigidos por essa legislação local.
5. Qualquer das Partes poderá revogar o seu consentimento de estar vinculada a estas Cláusulas quando: (i) a Comissão Europeia adotar uma decisão nos termos do Artigo 45(3) do Regulamento (UE) 2016/679 que abranja a transferência de dados pessoais à qual estas Cláusulas se aplicam; ou (ii) o Regulamento (UE) 2016/679 passe a integrar o ordenamento jurídico do país para o qual os dados pessoais são transferidos. Isso não prejudica outras obrigações aplicáveis ao tratamento em questão nos termos do Regulamento (UE) 2016/679.

Cláusula 15

Lei aplicável

Estas Cláusulas serão regidas pela lei de um país que permita direitos de terceiros beneficiários. As partes acordam que essa será a lei da Espanha.

Cláusula 16

Escolha de foro e jurisdição

Qualquer disputa decorrente destas Cláusulas será resolvido pelos tribunais da Espanha.

ANEXO I

LISTA DE PARTES

Exportador(es) de dados:

• Nome: ILOVEPDF, S.L.
• Endereço: Calle Sabino de Arana, 60, 08028 Barcelona
• Nome, cargo e dados de contato da pessoa de contato: Juan Oriol, Diretor Jurídico (legal@ilovepdf.com).
• Atividades relevantes para os dados transferidos nos termos destas Cláusulas: a prestação dos serviços ao importador dos dados pessoais, na medida em que a prestação desses serviços envolva uma transferência internacional de dados pessoais da ILOVEPDF (exportador de dados) para o cliente (importador de dados).
• Função: operador de dados.

Importador(es) de dados: [Identidade e dados de contato do(s) importador(es) de dados, incluindo a pessoa de contato responsável pela proteção de dados]

• Nome: [...] (se não for preenchido, será entendido que se aplica o nome do Cliente).
• Endereço: [...] (se não for preenchido, será entendido que se aplica o endereço do Cliente).
• Nome, cargo e dados de contato da pessoa de contato: [...] (se não for preenchido, será entendido que se aplicam os da pessoa que representa o Cliente na contratação ou na operação do serviço).
• Atividades relevantes para os dados transferidos nos termos destas Cláusulas: a prestação dos serviços pelo exportador de dados pessoais, na medida em que a prestação desses serviços envolva uma transferência internacional de dados pessoais da ILOVEPDF (exportador de dados) para o cliente (importador de dados).
• Assinatura e data: [...] (se não for preenchido, será entendido como a data da primeira operação do serviço pelo Cliente).
• Função: controlador de dados.

DESCRIÇÃO DA TRANSFERÊNCIA

Categorias de titulares de dados cujos dados pessoais são transferidos

As categorias de titulares de dados cujos dados estão contidos nos arquivos que o importador carrega ao utilizar os serviços prestados pela ILOVEPDF (por exemplo, funcionários, clientes, fornecedores etc.).

Categorias de dados pessoais transferidos
As categorias de dados pessoais que estão incluídas nos arquivos que o importador carrega ao utilizar os serviços prestados pela ILOVEPDF.

Dados sensíveis transferidos (se aplicável) e restrições ou salvaguardas aplicadas que levem plenamente em consideração a natureza dos dados e os riscos envolvidos, tais como, por exemplo, limitação estrita da finalidade, restrições de acesso (incluindo acesso apenas por pessoal que tenha recebido treinamento especializado), manutenção de registro de acesso aos dados, restrições a transferências subsequentes ou medidas adicionais de segurança.

As categorias especiais de dados serão tratadas na medida em que os arquivos que o importador carrega ao utilizar os serviços prestados pela ILOVEPDF contenham tais categorias especiais de dados pessoais.

A frequência da transferência (por exemplo, se os dados são transferidos de forma única ou contínua)
Quando a utilização dos serviços prestados pela ILOVEPDF envolver uma transferência internacional de dados da ILOVEPDF para o importador de dados.

Natureza do tratamento
Comunicar dados pessoais ao importador na medida necessária para que a ILOVEPDF possa prestar os seus serviços.

Finalidade(s) da transferência de dados e do tratamento subsequente
Prestar os serviços em nome da ILOVEPDF.

O período durante o qual os dados pessoais serão retidos ou, se isso não for possível, os critérios utilizados para determinar esse período
Na medida estritamente necessária para a prestação dos serviços e, subsequentemente, na medida exigida pela legislação aplicável e necessária para fazer valer ou defender reivindicações relacionadas ao tratamento de dados pessoais.

Controle de versão: quinta-feira, 19 de fevereiro de 2026