CONTRATO DE PROCESSAMENTO DE DADOS EasySIGN

Este Contrato de Processamento de Dados é parte integrante do Contrato. O usuário é responsável no Contrato (“o Controlador”) pelos dados pessoais. A EasySIGN BV está no processador do Contrato ("o Processador") dos dados pessoais. Depois disso, ambas as partes serão citadas como Controlador ou Processador.

ENQUANTO QUE

As partes concordaram que o Controlador usa o Processador como fornecedor de software para o software de produção gráfica EasySIGN. O Processador processa dados pessoais do Controlador no contexto da execução do contrato.

A fim de permitir que as Partes realizem seu relacionamento de maneira consistente com a lei, as Partes celebraram este Contrato de Processamento de Dados (“DPA”), da seguinte forma:

1. Definições

Para os fins deste DPA:

'Lei de Proteção de Dados Aplicável”	: a legislação que protege os direitos e liberdades fundamentais dos indivíduos e em particular o seu direito à privacidade no que diz respeito ao Tratamento de Dados Pessoais, cuja legislação se aplica ao Controlador e Processador; o termo Lei de Proteção de Dados Aplicável também inclui o GDPR;
"Controlador"	: O cliente da EasySIGN acima referido que, como pessoa singular ou colectiva, sozinho ou em conjunto com outros, determina as finalidades e meios do Tratamento de Dados Pessoais;
"O PIB é"	: regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que respeita ao tratamento de dados pessoais e à livre circulação desses dados, que entrou em vigor em 25 de maio de 2018;
"Organização Internacional"	: uma organização e seus órgãos subordinados de direito internacional público, ou qualquer outro órgão criado por ou com base em um acordo entre dois ou mais países;
"Estado membro"	: um país pertencente à União Europeia;
"Dados pessoais"	: qualquer informação relativa a uma pessoa singular identificada ou identificável (titular dos dados);
“Titular dos dados”	: uma pessoa identificável que pode ser identificada, direta ou indiretamente, em especial por meio de um identificador, como um nome, um número de identificação, dados de localização, um identificador on-line ou por um ou mais elementos característicos das características físicas, fisiológicas, genéticas, identidade mental, económica, cultural ou social dessa pessoa singular;
“Violação de dados pessoais”	: uma violação de segurança que leve à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a dados pessoais transmitidos, armazenados ou processados de outra forma;
“Processar/Processar”	: qualquer operação ou conjunto de operações que seja realizada em Dados Pessoais ou em conjuntos de Dados Pessoais, seja ou não por meios automatizados, como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou disponibilização de outra forma, alinhamento ou combinação, restrição, apagamento ou destruição;
"Processador"	: EasySIGN BV, que processa Dados Pessoais em nome do Controlador;
“Acordo entre cliente e EasySIGN ao entrar em Inscrição"	: o contrato principal celebrado entre o Controlador e o Processador que estabelece as condições para a prestação dos Serviços;
"Serviços"	: os serviços fornecidos pelo Processador ao Controlador e descritos em 'Assunto do processamento' no Apêndice 1 deste DPA;
“Categorias especiais de dados pessoais”	: dados pessoais que revelem a origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas ou filiação sindical; o Tratamento de dados genéticos e dados biométricos com o objetivo de identificar de forma inequívoca uma pessoa singular, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa singular;
“Subprocessador”	: um processador de dados contratado pelo Processador que declara sua vontade de receber Dados Pessoais do Processador destinados exclusivamente a Atividades de Processamento que devem ser realizadas para o Controlador de acordo com suas instruções, as condições deste DPA e as condições de um sub -tratamento de acordo;
“Autoridade Fiscalizadora”	: uma autoridade pública independente estabelecida por um Estado-Membro nos termos do artigo 51.º do RGPD;
“Técnico e Organizacional Medidas de segurança"	: as medidas destinadas a proteger os Dados Pessoais contra a destruição acidental ou perda acidental, alteração, divulgação ou acesso não autorizado, em particular quando o Tratamento envolve a transmissão de dados através de uma rede, e contra todas as outras formas ilegais de Tratamento;
"Terceiro País”	: um país em relação ao qual a Comissão Europeia não decidiu que esse país, ou uma área ou um ou mais setores específicos desse país, garante um nível adequado de proteção de dados.

2. Detalhes do Processamento

Os detalhes das Atividades de Processamento que o Processador realiza para o Controlador como um processador de dados que recebeu instruções para esse efeito (como o assunto, a natureza e a finalidade do processamento, o tipo de dados pessoais e as categorias de titulares de dados) estão estabelecidos no Apêndice 1 deste DPA.

3. Direitos e obrigações do Controlador

O Controlador instruiu o Processador e continuará a instruir o Processador durante o processamento de dados para o qual a instrução foi dada, para processar os Dados Pessoais exclusivamente para o Controlador e de acordo com a Lei de Proteção de Dados Aplicável, o Contrato entre o cliente e a EasySIGN ao fazer uma Assinatura, este DPA e as instruções do Controlador. O Controlador tem o direito e a obrigação de fornecer ao Processador instruções para o Processamento dos Dados Pessoais, tanto em geral quanto em casos individuais. As instruções também podem estar relacionadas à retificação, exclusão e bloqueio de Dados Pessoais. As instruções são geralmente dadas por escrito, a menos que a urgência ou outras circunstâncias específicas exijam uma forma diferente (por exemplo, oral ou eletrônica). O Controlador deverá confirmar imediatamente as instruções não escritas por escrito. Na medida em que a execução de uma instrução resulte em custos para o Processador, o Processador deverá primeiro notificar o Controlador desses custos. O Processador deve executar uma instrução somente depois que o Controlador confirmar que é responsável pelos custos de execução dessa instrução.

4. Obrigações do Processador

O processador irá:

processar os Dados Pessoais exclusivamente de acordo com as instruções do Controlador e em nome do Controlador; tais instruções são dadas no contrato entre o cliente e a EasySIGN ao realizar uma assinatura, neste DPA e de outra forma documentada conforme mencionado no artigo 3 acima. Esta obrigação de seguir as instruções do Controlador também se aplica à transferência dos Dados Pessoais para um País Terceiro ou uma Organização Internacional;
informar o Controlador imediatamente se o Processador não puder cumprir uma instrução do Controlador por qualquer motivo;
garantir que as pessoas autorizadas pelo Processador a Processar os Dados Pessoais em nome do Controlador se comprometam a observar a confidencialidade ou que essas pessoas estejam sujeitas a um dever de confidencialidade apropriado e que as pessoas que tenham acesso aos Dados Pessoais processarão esses Dados Pessoais Dados de acordo com as instruções do Controlador;
implementar as Medidas de Segurança Técnica e Organizacional que atendam aos requisitos da Lei de Proteção de Dados Aplicável conforme especificado no Apêndice 2, antes de Processar os Dados Pessoais e garantir que forneça ao Controlador garantias suficientes em relação a essas Medidas de Segurança Técnica e Organizacional;
auxiliar o Controlador por meio de Medidas Técnicas e Organizacionais apropriadas, na medida do possível, para o cumprimento da obrigação do controlador de responder a solicitações para o exercício dos direitos dos Titulares de Dados sobre informação, acesso, retificação e exclusão, restrição de processamento , notificação, portabilidade de dados, objeções e tomada de decisão automatizada; na medida em que essas Medidas Técnicas e Organizacionais viáveis exijam mudanças ou alterações nas Medidas Técnicas e Organizacionais, conforme mencionado no Apêndice 2, o Processador informará o Controlador dos custos de implementação dessas Medidas Técnicas e Organizacionais adicionais ou alteradas. Assim que o Controlador confirmar que esses custos são por sua conta, o Processador implementará essas Medidas Técnicas e Organizacionais adicionais ou alteradas para ajudar o Controlador a garantir o cumprimento das solicitações dos titulares dos dados;
disponibilizar ao Controlador todas as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas neste DPA e no Artigo 28 do GDPR, e permitir e contribuir para auditorias, incluindo inspeções realizadas pelo controlador ou outro auditor mandatado pelo Controlador. O Controlador está ciente de que as auditorias presenciais e no local podem interromper significativamente as operações comerciais do Processador, custar muito dinheiro e consumir muito tempo. Consequentemente, o Controlador pode realizar uma auditoria pessoalmente e no local somente se reembolsar os custos incorridos pelo Processador devido à interrupção de suas operações comerciais;
notifique o Controlador sem demora desnecessária:

i.
de qualquer solicitação legalmente vinculante de divulgação dos Dados Pessoais por uma autoridade policial, a menos que este aviso seja proibido de outra forma, como uma proibição sob a lei criminal para preservar a confidencialidade de uma investigação policial;

ii.
de reclamações e solicitações recebidas diretamente dos Titulares de Dados (por exemplo, reclamações e solicitações relacionadas a acesso, retificação, exclusão, restrição de processamento, notificação, portabilidade de dados, objeções contra processamento de dados e tomada de decisão automatizada) sem lidar com essa solicitação posteriormente a menos que esteja autorizado a fazê-lo;

iii.
se o Processador for obrigado, com base na legislação da UE ou na legislação de um Estado Membro que se aplique a ele, a processar os Dados Pessoais além do escopo das instruções do Controlador, antes de realizar esse processamento além desse escopo, a menos que a legislação ou legislação da UE desse Estado-Membro proíbe essa informação por razões imperiosas de interesse público; o aviso deve especificar o requisito legal ao abrigo dessa legislação da UE ou da legislação do Estado-Membro;

iv.
se, na opinião do Processador, uma instrução for contrária à Lei de Proteção de Dados Aplicável; se der esse aviso, o Processador não é obrigado a seguir a instrução, a menos e até que o Controlador a tenha confirmado ou alterado; e

v.
assim que o Processador tomar conhecimento de uma Violação de Dados Pessoais, em não mais de 24 horas. Se ocorrer uma Violação de Dados Pessoais, o Processador deverá auxiliar o Controlador, mediante solicitação por escrito do Controlador, com sua obrigação sob a Lei de Proteção de Dados Aplicável de relatar a violação aos Titulares dos Dados ou à Autoridade Supervisora e documentar a Violação de Dados Pessoais . Os detalhes de contato relacionados ao relatório são registrados no sistema de atendimento ao cliente. As pessoas de contato estão listadas no apêndice deste contrato;
auxiliar o Controlador em uma Avaliação de Impacto na Proteção de Dados conforme exigido pelo Artigo 35 GDPR relacionado aos Serviços fornecidos pelo Processador ao Controlador e aos Dados Pessoais que o Processador processa para o Controlador;
lidar com todas as questões do Controlador relacionadas ao seu Processamento de Dados Pessoais (por exemplo, para permitir que o Controlador responda prontamente a reclamações ou solicitações de Titulares de Dados) e cumprir o conselho da Autoridade Supervisora sobre o Processamento dos dados transmitidos dados;
na medida em que seja obrigado e solicitado a retificar, excluir e/ou bloquear Dados Pessoais processados sob este DPA, faça isso imediatamente. Se e na medida em que os Dados Pessoais não puderem ser excluídos devido a requisitos legais de retenção de dados, o Processador, em vez de excluir os Dados Pessoais relevantes, restringirá o Processamento e/ou uso dos Dados Pessoais ou removerá a identidade correspondente dos Dados Pessoais ('bloqueio'). Se tal obrigação de bloqueio se aplicar ao Processador, o Processador deverá excluir os Dados Pessoais relevantes até o último dia do ano civil em que o período de retenção terminar.

5. Subprocessamento

O Controlador dá permissão para o uso do(s) Subprocessador(es) contratado(s) pelo Processador para a prestação dos Serviços. O Controlador concede sua aprovação para o(s) Subprocessador(es) em relação a:

WebWhales	Loja virtual Woocommerce
Hubspot	CRM
Copernica	CRM
Lider do Time	CRM
U-digital	Prestador de serviços de marketing
Hotjar	Ferramenta de registro de comportamento online
Mollie	Provedor de serviços de pagamento
Exatamente on-line	Escrituração baseada em nuvem
Automatização de serviços Libra	Prestador de serviços de informática
Microsoft Office 365	E-mail e planilhas baseados em nuvem
wibu	Gerenciador de licenças baseado em nuvem
Google	Google Analytics

Os acordos de processamento disponibilizados por eles foram concluídos com essas partes.

Caso o Processador pretenda contratar novos ou mais Subprocessadores, o Processador garantirá que a 'Política de Privacidade' da EasySIGN (https://www.easysign.com/about-us/privacy-policy/) é atualizada. O Controlador assegura a consulta periódica da 'Política de Privacidade' da EasySIGN. Se o Controlador tiver motivos razoáveis para se opor ao uso de novos ou mais Subprocessadores, o Controlador deverá notificar imediatamente o Processador por escrito dentro de 14 dias do recebimento da Notificação do Subprocessador. Caso o Controlador se oponha a um Subprocessador novo ou diferente, e essa retenção não seja razoável, o Processador fará esforços razoáveis para fazer alterações nos Serviços disponíveis para o Controlador ou recomendar uma alteração comercialmente razoável na configuração do Controlador ou o uso pelo Controlador dos Serviços para impedir o Processamento de Dados Pessoais pelo Subprocessador novo ou diferente ao qual foram feitas objeções, sem impor um ônus excessivo ao Controlador. Se o Processador não puder disponibilizar essa alteração dentro de um período de tempo razoável, que não excederá sessenta (60) dias, o Controlador poderá rescindir a parte relevante da parte afetada dos 'Termos e condições' (https://www.easysign.com/about-us/general-terms-and-conditions/), no entanto, apenas com relação aos Serviços que não podem ser fornecidos pelo Processador sem o uso do Subprocessador novo ou diferente ao qual a objeção foi feita por meio de notificação por escrito ao Processador.
O Processador deverá impor contratualmente a mesma obrigação de proteção de dados incluída neste DPA em todos os Subprocessadores. O acordo entre o Processador e o Subprocessador deve, nomeadamente, dar garantias adequadas para a implementação das Medidas de Segurança Técnica e Organizacional conforme especificado no Apêndice 2, na medida em que essas Medidas de Segurança Técnica e Organizacional sejam importantes para os serviços prestados pelo Subprocessador .
O Processador escolhe o Subprocessador com o máximo cuidado.
Se tal Subprocessador estiver localizado em um terceiro país, o Processador, mediante solicitação por escrito do Controlador, celebrará um contrato modelo da UE (Controlador > Processador) em nome do Controlador (em nome do Controlador), de acordo com a Decisão da Comissão 2010/87/UE. Nesse caso, o Controlador instrui e autoriza o Processador a dar instruções aos Subprocessadores em nome do Controlador e a fazer valer todos os direitos do Controlador em relação aos Subprocessadores sob o contrato modelo da UE.
O Processador permanece responsável perante o Controlador pelo cumprimento das obrigações do Subprocessador, se esse Subprocessador não cumprir suas obrigações. No entanto, o Processador não é responsável por quaisquer danos/perdas e reclamações decorrentes das instruções do Controlador aos Subprocessadores.

6. Limite de Responsabilidade

Todas as responsabilidades decorrentes ou relacionadas a este DPA seguem e são regidas exclusivamente pelas disposições de responsabilidade estabelecidas ou aplicáveis de outra forma aos 'Termos e condições'. Portanto, e para fins de cálculo dos limites de responsabilidade e/ou determinação da aplicação de outras limitações de responsabilidade, qualquer responsabilidade decorrente deste DPA será considerada como proveniente dos 'Termos e condições' relevantes.

7. Duração e rescisão

A duração deste DPA é igual à dos 'Termos e condições' relevantes. Salvo disposição em contrário neste Contrato, os direitos e obrigações na área de rescisão são os mesmos estabelecidos nos 'Termos e condições' relevantes.
O Processador, a primeira solicitação do Controlador, excluirá ou devolverá ao Controlador todos os Dados Pessoais após o término da prestação dos Serviços e excluirá todas as cópias existentes, a menos que o Processador seja obrigado a reter esses Dados Pessoais sob a UE ou Membro Lei Estadual.

8. Diverso

Em caso de conflito entre as disposições deste DPA e quaisquer outros acordos entre as Partes, as disposições deste DPA prevalecerão com relação às obrigações de proteção de dados das Partes. Em caso de dúvida sobre se as cláusulas desses outros contratos estão relacionadas às obrigações de proteção de dados das Partes, este DPA prevalecerá.
A invalidade ou inexequibilidade de qualquer disposição deste DPA não afetará a validade ou exequibilidade das demais disposições deste DPA. A disposição inválida ou inexequível é (i) alterada de forma a garantir sua validade ou exequibilidade, preservando ao mesmo tempo as intenções das Partes tanto quanto possível ou - se isso não for possível - (ii) como se o parte inválida ou inexequível nunca foi incluída nele. O acima também se aplica se este DPA contiver uma omissão
Este DPA é regido pela mesma lei que o contrato entre o Cliente e a EasySIGN ao celebrar uma Assinatura, exceto na medida em que a Lei de Proteção de Dados Aplicável obrigatória se aplique.
Este contrato de processamento está sujeito à lei holandesa. Quaisquer litígios relativos à sua implementação serão submetidos ao tribunal competente em Eindhoven

Em nome do Processador:

Nome completo:	Paulo Schoofs
Posição:	Managing Director
Endereço:	Melkweg 5, 5527 CZ Hapert
Data:	21 Março de 2022

Assinatura:

Anexo 1 - Categorias de Titulares de Dados

Os Dados Pessoais transferidos dizem respeito às seguintes categorias de Titulares de Dados:

Empresas
Clientes do cliente
Colaboradores
Fornecedores

Objeto do processamento

Utilização de software para a concepção e fabrico de letreiros e outras produções gráficas.

Natureza e finalidade do processamento

O Processador coleta, armazena, processa e usa os Dados Pessoais dos Titulares dos Dados em nome do Controlador para executar o contrato, incluindo:

Gestão de tarefas, reuniões e chamadas;
Adição de Dados Pessoais às ferramentas de CRM para fins de acompanhamento de emails, gestão de contactos e empresas;
Acompanhamento de um processo de vendas;
Faturamento;
Registro de tempo;
Criação e gestão de tickets de suporte (incluindo estatísticas dos mesmos)
Criação e gerenciamento de metas
Voz sobre IP

Tipo de dados pessoais

Os Dados Pessoais coletados, processados e usados pelo Processador em nome do Controlador dizem respeito às seguintes categorias de dados pessoais: dados de uso e detalhes de contato, mais especificamente: Abonnementsgegeevens:

a assinatura desejada;
nome de usuário;
senha;

Seus detalhes:

primeiro e último nome;
número de telefone;
endereço de e-mail;
voorkurtaal;

Dados da sua empresa:

nome da empresa;
endereço da fatura;
código postal e cidade;
país;
endereço de e-mail;
Número de IVA;

Detalhes de pagamento:

IBAN e atribuição.

Pessoa de contato em caso de violação de segurança

Esta será a pessoa que foi designada como pessoa de contacto para o acordo. Isso pode ser encontrado entrando em www.EasySIGN.com em 'Meus dados'.

Contato com o Processador

Gerente de conformidade e privacidade: EasySIGN BV, Paul Schoofs suporte@easysign.com

Anexo 2 - Folha de Medidas de Segurança

Descrição das Medidas de Segurança Técnica e Organizacional implementadas pelo Processador de acordo com a Lei de Proteção de Dados Aplicável: Este Apêndice descreve as Medidas e procedimentos de Segurança Técnica e Organizacional que o Processador deve manter pelo menos para proteger a segurança dos dados pessoais criados, coletados, recebidos , ou obtido de outra forma.

Geral

As medidas técnicas e organizacionais podem ser consideradas o estado da arte no momento da celebração do Contrato de Prestação de Serviços. O Processador avaliará as medidas técnicas e organizacionais ao longo do tempo, levando em consideração os custos de implementação, natureza, escopo, contexto e objetivos do processamento, e o risco de diferenças no grau de probabilidade e gravidade dos direitos e liberdades das pessoas físicas.

Medidas técnicas detalhadas

Controle de acesso lógico aos sistemas da EasySIGN, utilizando senhas:

Todos os funcionários da EasySIGN são informados e cautelosos sobre “Engenharia Social”;

A EasySIGN monitora seus sistemas 24 horas por dia, 7 dias por semana:

A disponibilidade é medida a cada cinco minutos.
O monitoramento dos servidores (virtuais) da EasySIGN é realizado por uma equipe qualificada de Engenheiros de Operação e Desenvolvedores, podendo ser medido por máquina e por serviço se estão disponíveis e se entregam o desempenho necessário para atender os Níveis de Serviço acordados. Os alertas acontecem via Whatsapp e por e-mail.

Dependendo da configuração do Cliente, o EasySIGN geralmente funciona parcialmente na nuvem. Isso significa que as licenças de login exigem a disponibilidade dos data centers da Wibu Systems (subcontratada Claranet GmbH) e da Webwhales Woocommerce. A operação e a disponibilidade dos sistemas de acesso à licença do cliente não dependem de servidores locais em nosso escritório em Hapert. EasySIGN usa protocolos de segurança SSL. Existe um mecanismo adequado e atualizado para detectar e lidar com software malicioso, incluindo vírus de computador. Somente pessoal autorizado pode acessar os Dados Pessoais. Os colaboradores têm uma estrita obrigação de confidencialidade, que está incluída no contrato de trabalho. O edifício possui um sistema de alarme e é monitorado 24 horas por dia, 7 dias por semana, fora do horário de expediente. Durante o horário de expediente a porta encontra-se fechada e o acesso só é possível mediante marcação e sob orientação de um colaborador da EasySIGN.

Os arquivos de log

Todas as ações do usuário são registradas e armazenadas indefinidamente. Os logs consistem nos seguintes componentes:

E-mail de entrada: todos os e-mails enviados para EasySIGN
Site e software EasySIGN: todas as ações que o usuário realiza com o EasySIGN e todos os erros que dela resultem;

Os seguintes dados pessoais estão presentes nos logs:

Nome de Utilizador
nome do computador
User ID
Endereço IP
Endereço de e-mail / e-mail completo

Com esses dados é possível descobrir quem é esse usuário e o que essa pessoa fez. O EasySIGN armazena o “Status do Fluxo de Trabalho do Documento” em arquivos de log por um período de tempo indefinido e, portanto, também o armazena indefinidamente. Neste log você sempre pode verificar quais ações foram realizadas em documentos, ações como concessão de licença, alteração de nome, abertura, exclusão, divisão, agrupamento, exportação, plotagem, mensagens de erro etc. Esses dados de log são armazenados nos servidores de produção em bancos de dados de log. Este é um banco de dados diferente do banco de dados da loja virtual WooCommerce.