Anexo sobre o processamento de dados do Portal SecureChain

Data de vigência: 15 de outubro de 2026

Este Adendo sobre o Tratamento de Dados do Portal SecureChain (“DPA”) faz parte dos Termos de Uso do Portal SecureChain, do Contrato de Licença do Portal SecureChain e de qualquer Pedido ou outro contrato escrito ou eletrônico, celebrado entre a TuxCare, Inc. (“TuxCare”) e o cliente da TuxCare que aceita o Contrato Principal (“Cliente”) para o Portal SecureChain, a CLI relacionada e os fluxos de trabalho de envio (coletivamente, o “Serviço”) (o “Contrato Principal”). Todos os termos em maiúsculas não definidos neste documento têm os significados estabelecidos no Contrato Principal. Tanto o Cliente quanto a TuxCare podem ser referidos neste documento como uma “Parte” e, em conjunto, como as “Partes”.

No que diz respeito ao Serviço, as Partes prevêem que a TuxCare possa processar, fora do Espaço Econômico Europeu (“EEE”), da Suíça e do Reino Unido (“RU”), determinados Dados Pessoais em relação aos quais o Cliente possa atuar como controlador ou processador de dados, conforme aplicável, nos termos das Leis de Proteção de Dados aplicáveis.

As Partes concordaram em celebrar este Acordo de Tratamento de Dados (DPA) a fim de garantir que sejam adotadas medidas de proteção adequadas no que diz respeito à proteção desses Dados Pessoais, conforme exigido pelas Leis de Proteção de Dados Aplicáveis.

No âmbito da prestação do Serviço ao Cliente, nos termos do Contrato Principal, a TuxCare poderá tratar Dados Pessoais em nome do Cliente. A TuxCare concorda em cumprir as seguintes disposições no que diz respeito a quaisquer Dados Pessoais enviados pelo Cliente ou em seu nome à TuxCare, ou coletados e tratados pelo Cliente ou em seu nome por meio do Serviço.

1. DEFINIÇÕES

“Leis Aplicáveis de Proteção de Dados” significa todas as leis, normas e regulamentos aplicáveis em matéria de proteção de dados, privacidade de dados e segurança cibernética em qualquer parte do mundo que estejam em vigor a cada momento, incluindo, mas não se limitando a: (i) o Regulamento Geral de Proteção de Dados da UE 2016/679, (ii) a Lei Federal Suíça sobre Proteção de Dados, de 25 de setembro de 2020, em vigor desde 1º de setembro de 2023 (“FADP”), e (iii) no que diz respeito ao Reino Unido, o RGPD, na medida em que faz parte da legislação britânica em virtude da Seção 3 da Lei da União Europeia (Saída) de 2018 e da Lei de Proteção de Dados de 2018.

“Dados do Cliente” significa os dados que o Cliente ou seus usuários enviam ao Serviço, inclusive para um Espaço de Trabalho ou por meio da CLI, e os dados que o Serviço obtém a partir deles, conforme definido mais detalhadamente nos Termos de Uso do Portal SecureChain e no Contrato de Licença do Portal SecureChain.

“Dados Pessoais do Cliente” significa os Dados Pessoais contidos nos Dados do Cliente que a TuxCare processa em nome do Cliente.

“Estrutura de Proteção de Dados” refere-se à Estrutura de Proteção de Dados UE-EUA, à Extensão do Reino Unido à Estrutura de Proteção de Dados UE-EUA e ao programa de autocertificação da Estrutura de Proteção de Dados Suíça-EUA, administrado pelo Departamento de Comércio dos EUA.

“Instruções documentadas” tem o significado atribuído na cláusula 2.12.

“GDPR” significa o Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas físicas no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados).

“Dados Pessoais” significa qualquer informação relacionada a uma pessoa física identificada ou identificável que se refira a, descreva, possa ser associada a ou possa ser vinculada, direta ou indiretamente, a uma determinada pessoa física, conforme definido pelas Leis Aplicáveis de Proteção de Dados, e que seja acessada, armazenada ou de outra forma processada pela TuxCare como parte da prestação do Serviço ao Cliente.

Os termos “tratamento”, “controlador de dados”, “titular dos dados”, “autoridade de fiscalização” e “processador de dados” têm os significados descritos nas Leis de Proteção de Dados Aplicáveis.

“Transferência Restrita” significa: (i) nos casos em que o RGPD se aplica, uma transferência de Dados Pessoais por meio do Serviço a partir do EEE, seja diretamente ou por meio de transferência subsequente, para qualquer país ou destinatário fora do EEE que não esteja sujeito a uma determinação de adequação pela Comissão Europeia; (ii) nos casos em que se aplica o RGPD do Reino Unido, uma transferência de Dados Pessoais por meio do Serviço a partir do Reino Unido, seja diretamente ou por meio de transferência subsequente, para qualquer país ou destinatário fora do Reino Unido que não se baseie em regulamentos de adequação nos termos da Seção 17A da Lei de Proteção de Dados do Reino Unido de 2018; e (iii) uma transferência de Dados Pessoais por meio do Serviço da Suíça, seja diretamente ou por meio de transferência posterior, para qualquer país ou destinatário fora do EEE e/ou da Suíça que não esteja sujeito a uma determinação de adequação pela Comissão Europeia.

“SCC” significa: (i) nos casos em que se aplica o RGPD, as cláusulas contratuais anexas à Decisão de Execução 2021/914 da Comissão Europeia, de 4 de junho de 2021, relativa às cláusulas contratuais-padrão para a transferência de dados pessoais para países terceiros (“SCCs da UE”); (ii) nos casos em que se aplica o GDPR do Reino Unido, as cláusulas-padrão de proteção de dados adotadas (“SCCs do Reino Unido”); e (iii) nos casos em que os Dados Pessoais são transferidos da Suíça para fora da Suíça ou do EEE, as SCCs da UE, conforme alteradas de acordo com as orientações da Autoridade Suíça de Proteção de Dados (“SCCs suíças”).

“Subcontratado” significa qualquer terceiro contratado pela TuxCare para tratar os Dados Pessoais do Cliente em nome da TuxCare no âmbito da prestação do Serviço, incluindo qualquer terceiro contratado por tal Subcontratado.

“Adendo do Reino Unido” refere-se ao Adendo sobre Transferência Internacional de Dados às Cláusulas Contratuais Padrão da UE, um instrumento jurídico elaborado pelo Gabinete do Comissário de Informação (ICO) do Reino Unido.

“Leis estaduais de privacidade dos EUA” significa todas as leis estaduais relacionadas à proteção e ao tratamento de Dados Pessoais em vigor nos Estados Unidos da América, as quais podem incluir, sem limitação, a Lei de Privacidade do Consumidor da Califórnia, conforme alterada pela Lei de Direitos de Privacidade da Califórnia e seus regulamentos de aplicação (“CCPA”), a Lei de Privacidade do Colorado, a Lei de Privacidade de Dados de Connecticut e a Lei de Privacidade de Dados Pessoais de Delaware.

Para os fins da cláusula 7, os termos “Prestador de Serviços”, “Subcontratado”, “vender” e “compartilhar” têm os significados atribuídos nas Leis Estaduais de Privacidade dos EUA.

2. SITUAÇÃO DAS PARTES

2.1 O tipo de Dados Pessoais tratados nos termos deste Acordo de Tratamento de Dados (DPA), bem como o objeto, a duração, a natureza e a finalidade do tratamento, e as categorias de titulares dos dados, são os descritos no Anexo 1.

2.2 Cada Parte garante, no que diz respeito aos Dados Pessoais, que cumprirá (e assegurará que qualquer membro de seu pessoal cumpra e envide esforços comercialmente razoáveis para assegurar que seus Subprocessadores cumpram) as Leis Aplicáveis de Proteção de Dados. Entre as Partes, o Cliente terá a responsabilidade exclusiva pela exatidão, qualidade e legalidade dos Dados Pessoais, bem como pelos meios pelos quais os Dados Pessoais foram obtidos pelo Cliente.

2.3 No que diz respeito aos Dados Pessoais do Cliente, as Partes reconhecem e concordam que o Cliente é o controlador (ou, caso o Cliente atue em nome de outro controlador, o processador), e a TuxCare é o processador (ou subprocessador), conforme aplicável. A TuxCare deverá processar os Dados Pessoais do Cliente exclusivamente de acordo com este DPA.

2.3.1 Este Acordo de Tratamento de Dados (DPA) se aplica aos Dados Pessoais contidos nos Dados do Cliente que a TuxCare processa de acordo com as instruções do Cliente. A TuxCare atua como controladora independente no que diz respeito à administração de suas próprias contas, segurança de acesso, faturamento e comunicações comerciais. A Política de Privacidade do Portal SecureChain descreve esse processamento pela controladora. A aceitação do contrato não implica o consentimento de todas as pessoas mencionadas em um repositório ou SBOM.

2.4 Caso o Cliente seja um subcontratado com sede na UE, o Cliente garante à TuxCare que suas instruções e ações relativas aos Dados Pessoais, incluindo a designação da TuxCare como outro subcontratado e a celebração das Cláusulas Contratuais Típicas (SCC) com todos os anexos pertinentes, foram autorizadas pelo controlador responsável. Caso o Cliente seja um processador de dados com sede no Reino Unido, o Cliente garante à TuxCare que suas instruções e ações relativas aos Dados Pessoais, incluindo a nomeação da TuxCare como outro processador e a celebração do Adendo do Reino Unido, foram autorizadas pelo controlador responsável. Caso o Cliente seja um processador de dados com sede na Suíça, o Cliente garante à TuxCare que suas instruções e ações relativas aos Dados Pessoais, incluindo a nomeação da TuxCare como outro processador e a celebração das Cláusulas Contratuais Padrão (SCC) exigidas para transferências internacionais de dados em conformidade com a Lei Suíça de Proteção de Dados (FADP), foram autorizadas pelo controlador responsável.

2.5 Cada Parte deverá nomear, dentro de sua organização, um Responsável pela Proteção de Dados autorizado a responder, sempre que necessário, a consultas relativas a Dados Pessoais; as Partes deverão informar a outra Parte sobre a identidade do Responsável pela Proteção de Dados, e este deverá tratar dessas consultas prontamente.

2.6 Durante toda a vigência do Contrato Principal, o Cliente garante continuamente que todos os Dados Pessoais fornecidos à TuxCare foram coletados e transferidos de forma lícita, em total conformidade com as Leis Aplicáveis de Proteção de Dados. Durante a vigência deste Acordo de Tratamento de Dados (DPA), o Cliente é o único responsável por garantir que possui e mantém uma base legal válida, nos termos das Leis de Proteção de Dados Aplicáveis (incluindo o consentimento, quando este for exigido), para o tratamento pela TuxCare dos Dados Pessoais do Cliente nos termos do Contrato Principal e deste DPA, bem como por obter e manter todas as autorizações necessárias dos titulares dos dados relevantes.

2.7 O Cliente garante que forneceu todas as informações e notificações necessárias aos titulares dos dados a respeito do tratamento de seus Dados Pessoais, incluindo a contratação da TuxCare, de maneira transparente, compreensível e facilmente acessível. Isso inclui pessoas cujos Dados Pessoais constam nos Dados do Cliente sem que sejam funcionários do Cliente, tais como autores de pacotes de código-fonte, contatos de fornecedores e autores de commits. Esta cláusula 2.7 aplica-se apenas aos Dados Pessoais que o Cliente forneça ou disponibilize à TuxCare ou que instrua a TuxCare a coletar.

2.8 O Cliente garante que os Dados Pessoais fornecidos à TuxCare são precisos e, quando necessário, mantidos atualizados. O Cliente informará a TuxCare sobre quaisquer correções ou exclusões necessárias para manter a precisão dos dados.

2.9 O Cliente garante que o escopo dos Dados Pessoais divulgados se limita ao que for adequado, relevante e necessário em relação às finalidades para as quais são tratados, conforme especificado neste DPA.

2.10 O cliente garante que suas instruções à TuxCare para o tratamento de Dados Pessoais serão, em todos os momentos, lícitas e em conformidade com as Leis de Proteção de Dados aplicáveis.

2.11 O Cliente é o único responsável por determinar se as medidas de segurança implementadas no Serviço são adequadas para cumprir suas obrigações nos termos das Leis Aplicáveis de Proteção de Dados. O Cliente também é responsável por garantir o uso seguro do Serviço, incluindo a proteção dos Dados Pessoais transmitidos de e para o Serviço.

2.12 Instruções documentadas. As Partes concordam que este DPA, o Contrato Principal, a Documentação e o uso e a configuração do Serviço pelo Cliente, de acordo com o Contrato Principal, constituem as instruções documentadas completas do Cliente à TuxCare para o tratamento dos Dados Pessoais do Cliente. Ao enviar um inventário, relatório de dependências ou SBOM para um Espaço de Trabalho, o Cliente instrui a TuxCare a armazená-lo, comparar com dados de alertas e de catálogo, reavaliá-lo em relação a alertas publicados posteriormente enquanto ele for mantido, comparar com envios anteriores e posteriores, gerar conclusões e recomendações e enviar alertas para os destinos configurados pelo Cliente. Instruções adicionais durante a vigência do contrato devem estar em conformidade com o Contrato Principal e com a natureza do Serviço, e entrarão em vigor quando a TuxCare as confirmar por escrito.

3. OBRIGAÇÕES DA TUXCARE

3.1 No que diz respeito a todos os Dados Pessoais, a TuxCare garante que:

(a) tratar Dados Pessoais exclusivamente com o objetivo de prestar o Serviço, e agirá apenas de acordo com (i) este DPA, (ii) as instruções por escrito do Cliente, conforme estabelecido no Contrato Principal e neste DPA, e (iii) conforme exigido pelas Leis de Proteção de Dados Aplicáveis;

(b) informar imediatamente o Cliente caso, na opinião da TuxCare, uma Instrução Documentada infrinja as Leis Aplicáveis de Proteção de Dados, podendo a TuxCare suspender a execução dessa instrução até que o Cliente a confirme, modifique ou a retire. A TuxCare não é obrigada a realizar uma análise jurídica das instruções do Cliente;

(c) implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado aos riscos decorrentes do tratamento de Dados Pessoais, em particular a proteção contra a destruição acidental ou ilícita, a perda, a alteração, a divulgação não autorizada ou o acesso não autorizado aos Dados Pessoais. Tais medidas incluem, sem limitação, as medidas de segurança comumente adotadas de acordo com normas de segurança reconhecidas, tais como SOC 2 Tipo II ou ISO 27001, e conforme exigido pelas Leis Aplicáveis de Proteção de Dados;

(d) tomar medidas razoáveis para garantir que apenas o pessoal autorizado tenha acesso a tais Dados Pessoais e que quaisquer pessoas a quem autorize a ter acesso aos Dados Pessoais estejam sujeitas a obrigações de confidencialidade;

(e) sem demora injustificada após tomar conhecimento e, em qualquer caso, no prazo de vinte e quatro (24) horas após tomar conhecimento, notificar o Cliente sobre qualquer violação de segurança que resulte na destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais transmitidos, armazenados ou de outra forma processados pela TuxCare, seus subcontratados ou qualquer outro terceiro identificado ou não identificado (uma “Violação de Segurança”). A notificação inicial deverá conter os fatos razoavelmente disponíveis para a TuxCare naquele momento, e a TuxCare deverá fornecer informações complementares à medida que sua investigação avançar e, em qualquer caso, no prazo de setenta e duas (72) horas após tomar conhecimento;

(f) prestar prontamente ao Cliente cooperação e assistência razoáveis em relação a uma Violação de Segurança, bem como todas as informações razoáveis de que a TuxCare disponha sobre tal Violação de Segurança, na medida em que ela afete o Cliente, incluindo, na medida do então conhecido: a possível causa e as consequências da Violação de Segurança para os titulares dos dados; as categorias de Dados Pessoais envolvidos; um resumo das possíveis consequências para os titulares de dados relevantes; um resumo dos destinatários não autorizados dos Dados Pessoais; e as medidas tomadas pela TuxCare para mitigar quaisquer danos;

(g) não fazer qualquer comunicado público sobre uma violação de segurança (um “Aviso de Violação”) sem o consentimento prévio por escrito do Cliente, a menos que exigido pelas Leis de Proteção de Dados Aplicáveis. Isso não impede a TuxCare de publicar um aviso geral sobre uma violação de segurança que afete vários clientes e que não identifique o Cliente nem seus Dados Pessoais;

(h) notificar imediatamente o Cliente caso receba uma solicitação de um titular de dados do Cliente para acessar, retificar ou apagar os Dados Pessoais desse indivíduo, ou caso um titular de dados se oponha ao tratamento de tais Dados Pessoais ou apresente uma solicitação de portabilidade de dados a respeito deles (cada uma delas denominada “Solicitação do Titular de Dados”). A TuxCare não responderá a uma Solicitação do Titular dos Dados sem o consentimento prévio por escrito do Cliente, exceto para confirmar que tal solicitação se refere ao Cliente, com o que o Cliente concorda por meio deste. Na medida em que o Cliente não tenha capacidade para atender a uma Solicitação do Titular dos Dados, então, mediante solicitação do Cliente, a TuxCare prestará assistência razoável ao Cliente para facilitar tal Solicitação do Titular dos Dados, na medida do possível e em conformidade com as Leis de Proteção de Dados Aplicáveis. Na medida em que o Cliente não responder, a TuxCare poderá responder à Solicitação do Titular dos Dados da maneira que julgar apropriada. O Cliente arcará com todos os custos razoáveis incorridos pela TuxCare em conexão com a prestação de tal assistência ou resposta;

(i) após a rescisão, o vencimento ou a conclusão do Serviço, devolver ou excluir os Dados Pessoais do Cliente de acordo com as instruções do Cliente, incluindo cópias, a menos que a legislação aplicável exija a retenção. A exclusão ocorre dentro dos prazos estabelecidos no Anexo 1(h), e a exclusão das cópias de backup pode ser adiada até que essas cópias sejam sobrescritas no ciclo padrão de backup da TuxCare. Durante esse período, a TuxCare restringe o tratamento ao armazenamento, à segurança, à retenção legal e à devolução ou exclusão autorizada. Um backup restaurado continua sujeito à instrução de exclusão. O Anexo 1 descreve as disposições de retenção;

(j) levando em consideração a natureza do tratamento e as informações disponíveis à TuxCare, prestar ao Cliente a assistência que este razoavelmente solicitar em relação às obrigações da TuxCare nos termos das Leis Aplicáveis de Proteção de Dados no que diz respeito a (i) avaliações de impacto sobre a proteção de dados, (ii) notificações à autoridade supervisora nos termos das Leis Aplicáveis de Proteção de Dados e/ou comunicações aos titulares dos dados pelo Cliente em resposta a qualquer Violação de Segurança, e (iii) o cumprimento, por parte do Cliente, de suas obrigações nos termos das Leis Aplicáveis de Proteção de Dados no que diz respeito à segurança do tratamento, desde que o Cliente arque com todos os custos razoáveis incorridos pela TuxCare em conexão com a prestação de tal assistência;

(k) fornecer ao Cliente informações sobre a região e o país onde os Dados Pessoais são armazenados e processados pela TuxCare ou em nome dela;

(l) comunicar o endereço exato das instalações relevantes somente no caso de uma solicitação explícita de uma autoridade de supervisão competente e se tal comunicação for adequada para cumprir sua obrigação nos termos das Leis de Proteção de Dados Aplicáveis;

(m) manter um registro de todas as categorias de atividades de tratamento realizadas em nome do Cliente, em conformidade com o Artigo 30, parágrafo 2, do RGPD, e disponibilizá-lo à autoridade de supervisão, mediante solicitação; e

(n) cooperar, quando solicitado, com a autoridade de supervisão competente no desempenho de suas funções.

3.2 A TuxCare não processará os Dados Pessoais do Cliente para seus próprios fins. Qualquer processamento pela TuxCare de dados derivados do Serviço para seus próprios fins limita-se ao processamento descrito na cláusula 2.3.1 como estando fora do âmbito deste DPA e está divulgado na Política de Privacidade do Portal SecureChain.

3.3 Caso a TuxCare receba uma solicitação juridicamente vinculativa de uma autoridade pública para a divulgação de Dados Pessoais do Cliente, a TuxCare deverá (a) sempre que possível, encaminhar a autoridade ao Cliente; (b) notificar prontamente o Cliente, a menos que tal seja proibido por lei; (c) analisar a legalidade da solicitação e contestá-la caso haja motivos razoáveis para considerá-la ilegal nos termos da legislação aplicável à TuxCare; e (d) divulgar apenas o mínimo de informações necessárias. A TuxCare não divulgará Dados Pessoais do Cliente a uma autoridade pública de forma voluntária. Esta cláusula se aplica independentemente de o tratamento envolver uma Transferência Restrita.

4. SUBCONTRATAÇÃO

4.1 O Cliente concede à TuxCare uma autorização geral por escrito para contratar subprocessadores para a prestação do Serviço. Os subprocessadores contratados na Data de Entrada em Vigor estão listados no Anexo 3, que indica, para cada subprocessador, seu nome, localização, o tratamento de dados que realiza e o mecanismo de transferência utilizado. Os subprocessadores são contratados exclusivamente para hospedagem, armazenamento e backup, envio de notificações, monitoramento, ferramentas de suporte e outras funções necessárias para a prestação do Serviço.

4.2 A TuxCare deverá notificar o Cliente sobre qualquer intenção de adição ou substituição de um subprocessador, de acordo com a cláusula 4.4. O Cliente poderá se opor, com base em motivos razoáveis relacionados à proteção de dados, mediante notificação por escrito enviada para [email protected] no prazo de trinta (30) dias a partir da data da notificação. As Partes deverão discutir a objeção de boa-fé. Caso as Partes não resolvam a objeção no prazo de trinta (30) dias a partir da notificação do Cliente, este poderá, como único recurso, rescindir a Assinatura afetada ou excluir o Espaço de Trabalho afetado, e a TuxCare deverá reembolsar quaisquer taxas pagas antecipadamente referentes à parcela não utilizada do prazo da Assinatura. Se o Cliente não apresentar objeção dentro do prazo acima, considerar-se-á que ele autorizou o Subprocessador.

4.3 A TuxCare deverá contratar cada subprocessador por meio de um contrato por escrito que imponha ao subprocessador as mesmas obrigações de proteção de dados que as impostas à TuxCare neste DPA. Caso um subprocessador deixe de cumprir suas obrigações de proteção de dados, a TuxCare permanecerá integralmente responsável perante o Cliente pelo cumprimento das obrigações desse subprocessador. A TuxCare deverá, mediante solicitação, fornecer ao Cliente uma cópia dos termos de proteção de dados dos contratos com seus subcontratados, com as informações comerciais suprimidas.

4.4 A TuxCare notificará a adição ou substituição de um subcontratado pelo menos trinta (30) dias antes de esse subcontratado iniciar o tratamento dos Dados Pessoais do Cliente.

5. AUDITORIA E REGISTROS

5.1 A TuxCare deverá, de acordo com as Leis Aplicáveis de Proteção de Dados, disponibilizar ao Cliente as informações que estiverem em seu poder ou sob seu controle, conforme o Cliente possa razoavelmente solicitar, com o objetivo de demonstrar a conformidade da TuxCare com as obrigações dos responsáveis pelo tratamento de dados previstas nas Leis Aplicáveis de Proteção de Dados, no que se refere ao tratamento dos Dados Pessoais do Cliente.

5.2 O Cliente poderá exercer seu direito de auditoria, nos termos das Leis de Proteção de Dados aplicáveis, em relação aos Dados Pessoais do Cliente por meio da TuxCare, desde que:

(a) um relatório de auditoria com no máximo dezoito (18) meses, elaborado por um auditor externo independente, comprovando que as medidas técnicas e organizacionais da TuxCare são suficientes e estão em conformidade com uma norma de auditoria aceita pelo setor, quando tal relatório estiver disponível, bem como a documentação de segurança da TuxCare e as respostas por escrito ao questionário de segurança razoável do Cliente, desde que fornecidas no máximo uma vez a cada período de doze (12) meses;

(b) informações adicionais que estejam na posse ou sob o controle da TuxCare à autoridade supervisora, quando esta solicitar ou exigir informações adicionais relacionadas ao tratamento de Dados Pessoais do Cliente realizado pela TuxCare nos termos deste DPA; e

(c) caso o Cliente solicite uma auditoria além dos materiais descritos nas alíneas (a) e (b), tal auditoria deverá ser realizada no máximo uma vez a cada período de doze (12) meses, mediante notificação prévia por escrito em prazo razoável, durante o horário comercial normal e de forma que não perturbe as operações da TuxCare. O Cliente arcará com os custos razoáveis incorridos pela TuxCare em relação a tal auditoria.

6. TRANSFERÊNCIAS DE DADOS

6.1 Mecanismo Principal — Estrutura de Privacidade de Dados. A TuxCare, Inc. participa da Estrutura de Privacidade de Dados e certifica sua conformidade com a mesma. Enquanto essa certificação estiver ativa e abranger os Dados Pessoais em questão, a TuxCare se baseará na Estrutura de Privacidade de Dados para receber Dados Pessoais transferidos do EEE, do Reino Unido e da Suíça para os Estados Unidos, e fornecerá a esses dados, no mínimo, o mesmo nível de proteção exigido pelos Princípios da Estrutura de Privacidade de Dados.

6.2 Mecanismo de contingência — Cláusulas Contratuais Padrão. Caso o Marco de Proteção de Dados não abranja uma transferência, deixe de ser um mecanismo válido de transferência ou seja suspenso, invalidado ou revogado, as Cláusulas Contratuais Padrão da UE (SCCs) serão aplicadas automaticamente às Transferências Restritas provenientes do EEE, sem a necessidade de qualquer ação adicional por parte de qualquer uma das Partes. As Cláusulas Contratuais Padrão da UE são consideradas celebradas e incorporadas ao presente Acordo de Proteção de Dados (DPA) por referência, e são preenchidas da seguinte forma:

(a) O cliente é o “exportador de dados” e a TuxCare é o “importador de dados”;

(b) O Módulo Dois (Controlador para Processador) se aplica quando o Cliente é o controlador dos Dados Pessoais do Cliente e a TuxCare é o processador. O Módulo Três (Processador para Processador) se aplica quando o Cliente é um processador agindo em nome de outro controlador ou processador, e a TuxCare é um subprocessador;

(c) na Cláusula 7, aplica-se a cláusula opcional de acoplamento;

(d) na Cláusula 9, aplica-se a Opção 2 (autorização geral por escrito), e o prazo para notificação prévia de alterações relativas aos subprocessadores é de trinta (30) dias, conforme estabelecido na cláusula 4.4 do presente DPA;

(e) na Cláusula 11, a disposição facultativa não se aplica;

(f) na Cláusula 13, a autoridade de supervisão competente é determinada de acordo com essa Cláusula;

(g) na Cláusula 17, aplica-se a Opção 1, e as Cláusulas Contratuais Padrão da UE são regidas pela legislação dos Países Baixos;

(h) na Cláusula 18(b), os litígios são resolvidos pelos tribunais da Holanda;

(i) O Anexo I das Cláusulas Contratuais Padrão da UE (SCCs) é complementado com as informações estabelecidas no Anexo 1 deste Acordo de Proteção de Dados (DPA). Para os fins do Anexo I.A, o exportador de dados é o Cliente, conforme identificado na aceitação do Contrato Principal ou no Pedido, e o importador de dados é a TuxCare, Inc., 20791 Three Oaks Pkwy, #980, Estero, FL 33929, EUA ([email protected]). A aceitação do Contrato Principal constitui a assinatura do Anexo I;

(j) O Anexo II das Cláusulas Contratuais Padrão da UE é complementado pela cláusula 3.1(c) e pelo Anexo 2 deste Acordo de Tratamento de Dados; e

(k) O Anexo III das Cláusulas Contratuais Padrão da UE é complementado com a lista de subcontratados constante do Anexo 3.

6.3 Reino Unido. No que diz respeito às transferências de Dados Pessoais sujeitas ao GDPR do Reino Unido, as Cláusulas Contratuais Padrão da UE (SCCs) (i) aplicam-se conforme preenchidas de acordo com a cláusula 6.2 acima, e (ii) são consideradas alteradas conforme especificado no Adendo do Reino Unido, o qual é considerado assinado pelas Partes e constitui parte integrante deste DPA. As Tabelas 1 a 3 da Parte 1 do Adendo do Reino Unido são consideradas preenchidas com as informações estabelecidas neste DPA, no Anexo 1 e nas cláusulas 3.1(c) e 4. A Tabela 4 da Parte 1 é considerada preenchida mediante a seleção de “nenhuma das partes”. Qualquer conflito entre as Cláusulas Contratuais Padrão da UE e o Adendo do Reino Unido será resolvido de acordo com as Seções 10 e 11 do Adendo do Reino Unido.

6.4 Suíça. No que diz respeito às transferências de Dados Pessoais protegidos pela FADP suíça, as Cláusulas Contratuais Padrão da UE (SCCs) (i) aplicam-se conforme preenchidas de acordo com a cláusula 6.2, e (ii) são consideradas alteradas da seguinte forma: as referências ao “Regulamento (UE) 2016/679” são interpretadas como referências à FADP suíça; na Cláusula 13, a autoridade de supervisão competente é o Comissário Federal Suíço para a Proteção de Dados e Informação; na Cláusula 17, as Cláusulas Contratuais Padrão da UE são regidas pela legislação da Suíça; na Cláusula 18(b), os litígios são resolvidos perante os tribunais da Suíça; as referências aos Estados-Membros são interpretadas de modo a incluir a Suíça; e os titulares de dados na Suíça não estão excluídos de fazer valer seus direitos em seu local de residência habitual, de acordo com a Cláusula 18(c).

6.5 Transferências posteriores por subcontratados. Caso a TuxCare transfira Dados Pessoais para um subcontratado localizado fora do EEE, do Reino Unido ou da Suíça, a TuxCare deverá garantir, antes da transferência, que exista um mecanismo de transferência válido, seja a certificação ativa do próprio subcontratado no âmbito do Data Privacy Framework, seja as Cláusulas Contratuais Padrão da UE (SCCs) (juntamente com o Adendo do Reino Unido ou as emendas suíças, quando aplicável) celebradas em benefício do Cliente. A TuxCare avaliou e mantém sob revisão as leis e práticas de cada país fora do EEE, do Reino Unido e da Suíça para o qual os Dados Pessoais do Cliente são transferidos, conforme exigido pela Cláusula 14 das SCCs da UE, e fornece um resumo dessa avaliação ao Cliente, mediante solicitação.

6.6 Auditoria e subcontratação nos termos das SCCs. O Cliente poderá exercer seu direito de auditoria nos termos da Cláusula 8.9 das SCCs da UE, conforme estabelecido na cláusula 5.2 deste DPA e sujeito aos requisitos nela previstos. A TuxCare poderá nomear subcontratados, conforme estabelecido nas cláusulas 4 e 6.5 deste DPA e sujeito aos requisitos nelas previstos.

6.7 Mecanismos alternativos. Caso a TuxCare seja obrigada a adotar um mecanismo alternativo de transferência nos termos das Leis Aplicáveis de Proteção de Dados, tal mecanismo será aplicado automaticamente em substituição aos mecanismos descritos acima, na medida em que esteja em conformidade com as Leis Aplicáveis de Proteção de Dados, e o Cliente concorda em assinar os documentos ou tomar as medidas que forem razoavelmente necessárias para conferir-lhe efeito jurídico.

7. DISPOSIÇÕES ADICIONAIS PREVISTAS NAS LEIS ESTADUAIS DOS EUA SOBRE PRIVACIDADE

7.1 Os termos a seguir se aplicam nos casos em que a TuxCare processa Dados Pessoais sujeitos às Leis Estaduais de Privacidade dos EUA. Na medida em que os Dados Pessoais do Cliente incluam informações pessoais protegidas pelas Leis Estaduais de Privacidade dos EUA que a TuxCare processe na qualidade de Prestadora de Serviços ou Encargada do Tratamento em nome do Cliente, a TuxCare processará tais Dados Pessoais do Cliente de acordo com as Leis Estaduais de Privacidade dos EUA, inclusive cumprindo as seções aplicáveis dessas leis e oferecendo o mesmo nível de proteção de privacidade exigido por elas, bem como de acordo com as instruções por escrito do Cliente, conforme necessário para os fins limitados e específicos identificados neste DPA. A TuxCare não irá:

(a) reter, utilizar, divulgar ou, de qualquer outra forma, tratar tais Dados Pessoais do Cliente para fins comerciais que não sejam os fins limitados e específicos identificados neste DPA, no Contrato Principal ou conforme permitido pelas leis estaduais de privacidade dos EUA;

(b) “vender” ou “compartilhar” tais Dados Pessoais do Cliente, nos termos das Leis Estaduais de Privacidade dos EUA; ou

(c) reter, utilizar, divulgar ou, de qualquer outra forma, tratar tais Dados Pessoais do Cliente fora do âmbito da relação comercial direta com o Cliente, ou combinar tais Dados Pessoais do Cliente com informações pessoais que receba de outras fontes, exceto conforme permitido pelas leis estaduais de privacidade dos EUA.

7.2 A TuxCare implementará medidas destinadas a manter a segurança dos Dados Pessoais, garantindo um nível de proteção da privacidade compatível com os requisitos das leis estaduais de privacidade dos Estados Unidos.

7.3 A TuxCare fornecerá acesso razoável às informações necessárias para que o Cliente verifique a conformidade da TuxCare com este DPA.

7.4 As Partes reconhecem e concordam que a troca de Dados Pessoais entre elas não faz parte de qualquer contraprestação monetária ou de outro valor trocada entre as Partes no que diz respeito ao Contrato Principal ou ao presente Acordo de Tratamento de Dados.

8. GERAL

8.1 O presente Acordo de Tratamento de Dados (DPA) não prejudica os direitos e obrigações das Partes previstos no Contrato Principal, o qual continuará a ter plena vigência e efeito. Em caso de conflito entre os termos do presente DPA e os termos do Contrato Principal, prevalecerão os termos do presente DPA na medida em que o objeto se refira ao tratamento de Dados Pessoais.

8.2 A responsabilidade da TuxCare nos termos deste DPA ou em relação a ele está sujeita às limitações de responsabilidade previstas no Contrato Principal. Nada neste DPA limita ou exclui qualquer responsabilidade que não possa ser limitada ou excluída nos termos da legislação aplicável.

8.3 Este Acordo de Tratamento de Dados (DPA) não confere quaisquer direitos de terceiros beneficiários; destina-se exclusivamente ao benefício das Partes signatárias e de seus respectivos sucessores e cessionários autorizados, e não se destina ao benefício de, nem qualquer disposição do presente Acordo poderá ser feita valer por, qualquer outra pessoa, salvo que esta cláusula não limita os direitos de terceiros beneficiários conferidos aos titulares de dados nos termos das Cláusulas Contratuais Padrão (SCCs).

8.4 O presente Acordo de Tratamento de Dados (DPA) e qualquer ação a ele relacionada serão regidos e interpretados de acordo com as leis do Estado de Delaware, sem que se apliquem quaisquer princípios de conflito de leis, salvo se as Cláusulas Contratuais Padrão (SCCs) dispuserem de outra forma. As Partes aceitam a jurisdição pessoal e a competência territorial dos tribunais de Delaware.

8.5 Este DPA constitui o acordo definitivo, completo e exclusivo entre as Partes com relação ao objeto do presente documento e substitui e incorpora todas as discussões e acordos anteriores entre as Partes com relação a tal objeto. Exceto no que se refere a declarações feitas de forma fraudulenta, nenhuma outra declaração ou termo se aplicará ou fará parte deste DPA. Nenhuma modificação, emenda ou renúncia a quaisquer direitos previstos neste DPA terá validade, a menos que acordada por escrito, o que inclui a aceitação eletrônica pelo Cliente de uma versão atualizada deste DPA da mesma forma que o Contrato Principal. Este DPA poderá ser assinado em exemplares, cada um dos quais será considerado original, mas todos, em conjunto, constituirão um único e mesmo acordo. Caso este DPA seja assinado separadamente, cada pessoa que o assinar declara e garante que está devidamente autorizada e possui capacidade jurídica para assinar e entregar este DPA. Cada Parte declara e garante à outra que a assinatura e entrega deste DPA, bem como o cumprimento das obrigações dessa Parte nos termos do presente, foram devidamente autorizados e que este DPA é um contrato válido e juridicamente vinculativo para cada uma dessas Partes, passível de execução de acordo com seus termos.

Este Acordo de Tratamento de Dados (DPA) faz parte integrante do Contrato Principal e é aceito pelo Cliente da mesma forma que o Contrato Principal. Não é necessária nenhuma assinatura separada para que este DPA entre em vigor. Caso o Cliente solicite uma cópia deste DPA devidamente assinada separadamente, a TuxCare a fornecerá mediante solicitação.

ANEXO 1 – DETALHES SOBRE DADOS PESSOAIS E ATIVIDADES DE TRATAMENTO

(a) A natureza do tratamento de Dados Pessoais está sujeita ao disposto a seguir, na medida do permitido pelas Leis de Proteção de Dados Aplicáveis e pelo Contrato Principal:

Recebimento de dados, incluindo coleta, acesso e registro;
Armazenamento de dados, incluindo armazenamento, organização e estruturação;
Utilização de dados, incluindo análise, consultoria e testes;
Proteger dados, incluindo a restrição;
Apagamento de dados, incluindo destruição e exclusão.

(b) O objetivo é prestar o Serviço de acordo com as Instruções Documentadas. Isso inclui o armazenamento de inventários e envios brutos, a correspondência com alertas, a reavaliação de varreduras retidas em relação a alertas publicados posteriormente, a comparação de varreduras e o armazenamento de resultados e registros de triagem. Também inclui notificações configuradas, varreduras de imagens autorizadas, suporte, segurança do serviço e exportação ou exclusão de dados. A TuxCare não publica nem vende Dados do Cliente não públicos, não os utiliza em publicidade nem treina um modelo de IA de uso geral com eles sem a autorização específica do Cliente.

(c) Os Dados Pessoais do Cliente podem incluir o seguinte, na medida em que o Cliente os forneça ou instrua a TuxCare a coletá-los:

Identificadores em URLs de repositórios, nomes de ramificações, metadados de commit, rótulos de projetos, coordenadas de pacotes e caminhos relativos.
Nomes, dados de contato comercial e outros identificadores presentes nos campos relativos a autores, fornecedores, informações de licença, comentários ou documentos adicionais da SBOM.
Endereços IP de origem e identificadores de conta, varredura ou integração associados aos envios do Cliente.
Dados pessoais contidos em resultados, notas de triagem, destinatários de notificações, solicitações de suporte ou informações diagnósticas solicitadas.
Credenciais fornecidas pelo Cliente por meio dos controles designados para varreduras de registro ou integrações, quando se referirem a uma pessoa.
Dados dos usuários do Espaço de Trabalho: endereços de e-mail, identificadores de conta do provedor de identidade, funções, afiliação a departamentos, hora do último login e da aceitação dos termos, e registros de auditoria (incluindo endereços de e-mail e de rede) dos usuários autorizados do Cliente, na medida em que forem disponibilizados ao Cliente no âmbito do Serviço.
Incluir os nomes e endereços de e-mail dos autores e responsáveis pelas confirmações, quando estiverem incluídos nos metadados das confirmações ou nas SBOMs.
Conteúdo da imagem do contêiner recuperado para uma verificação autorizada do registro. A TuxCare mantém a imagem em armazenamento temporário apenas para gerar um inventário (SBOM) e a exclui quando a verificação é concluída. A TuxCare mantém o inventário junto com os dados do Workspace e o exclui de acordo com o parágrafo (h).
Endereços de e-mail das pessoas convidadas para o Workspace pelos administradores do Cliente.

Nomes de pacotes, versões, gráficos, hashes, resumos de imagens e dados do sistema operacional são dados técnicos. Eles podem se tornar Dados Pessoais quando associados a indivíduos. O Portal pode reter o documento enviado na íntegra, incluindo campos que não utiliza para análise. O envio normal de dependências não exige código-fonte, Dados Pessoais confidenciais, senhas ou chaves privadas.

(d) O tratamento dos dados continua pelo período necessário para prestar o Serviço de acordo com as instruções do Cliente. A devolução e a exclusão após esse período seguem o disposto na cláusula 3.1(i) e no parágrafo (h).

(e) Dados confidenciais transferidos: As Partes não prevêem a transferência de dados confidenciais.

(f) Os titulares dos dados podem incluir funcionários, prestadores de serviços, administradores e contatos de prestadores de serviços do Cliente. Também podem incluir autores, fornecedores e outras pessoas cujos identificadores apareçam acidentalmente nos documentos enviados pelo Cliente. O Cliente continua sendo responsável pelas notificações, instruções legais e autorização para fornecer seus dados.

(g) Os dados pessoais são armazenados e processados nas seguintes regiões e países:

hospedagem de servidores e bancos de dados — Hetzner Online GmbH, Falkenstein, Alemanha (UE);
backups e arquivos — Hetzner Online GmbH, Alemanha (UE), e Amazon Web Services, Inc., Estados Unidos;
DNS e entrega de e-mails do Workspace — Cloudflare, Inc., Estados Unidos;
e-mail corporativo e armazenamento de documentos utilizados pela equipe da TuxCare — Google LLC, Estados Unidos.

O mecanismo de transferência para cada provedor está descrito no Anexo 3. A TuxCare notificará o Cliente sobre qualquer alteração nas regiões e países listados neste parágrafo, de acordo com as cláusulas 3.1(k) e 4.4.

(h) Duração e retenção. A TuxCare processa os Dados Pessoais do Cliente durante a vigência do Contrato Principal e pelo período necessário para devolvê-los ou excluí-los, de acordo com a cláusula 3.1(i). O Cliente pode excluir o Espaço de Trabalho a qualquer momento por meio dos controles fornecidos no Serviço; o Espaço de Trabalho é encerrado imediatamente, e seus dados são removidos permanentemente do banco de dados ativo trinta (30) dias após a exclusão. O Serviço mantém um número limitado de varreduras por repositório e exclui automaticamente as varreduras mais antigas; o histórico de pesquisas pode permanecer após a exclusão de uma varredura mais antiga. Um Espaço de Trabalho gratuito sem atividade pode ser desativado: a TuxCare notifica o Cliente após aproximadamente doze (12) meses sem atividade, pode suspender o Espaço de Trabalho após aproximadamente treze (13) meses e pode excluí-lo após aproximadamente quinze (15) meses, disponibilizando ao Cliente uma exportação de arquivo dos dados do Espaço de Trabalho antes da exclusão. Um backup restaurado permanece sujeito à instrução de exclusão do Cliente. A TuxCare aplica a cláusula 3.1(i) a todas essas cópias. Um arquivo não confere o direito de reter Dados Pessoais do Cliente para uma finalidade não relacionada. A retenção exigida pela legislação aplicável permanece sujeita a acesso restrito e limitação de finalidade.

ANEXO 2 – MEDIDAS TÉCNICAS E ORGANIZACIONAIS

Este Anexo descreve as medidas de controle utilizadas para o serviço hospedado em questão. Ele complementa a cláusula 3.1(c) e as informações do Anexo II das Cláusulas Contratuais Padrão (SCCs). Um anexo de segurança por escrito, de natureza separada, rege quaisquer compromissos mais rigorosos dentro de seu escopo.

O serviço hospedado utiliza HTTPS para o tráfego dos clientes e cookies de sessão seguros para o acesso pelo navegador.
A identidade do espaço de trabalho e a autorização limitam o acesso à conta selecionada. As funções, os departamentos e os escopos de token compatíveis restringem as ações e os repositórios permitidos.
O aplicativo hospedado utiliza controles de banco de dados para restringir o acesso dos locatários. O acesso de serviços privilegiados e de operadores possui autorizações distintas.
O serviço protege os segredos armazenados no registro e no provedor de identidade por meio de criptografia autenticada. Essa afirmação não implica que todos os campos do banco de dados sejam criptografados.
O serviço registra ações relacionadas a contas e eventos de acesso operacional para apoiar a segurança e as investigações.
O módulo de entrada verifica os formatos de documentos suportados, a autenticação, o tamanho do corpo do documento e o escopo relevante do token antes de armazenar uma digitalização.
A TuxCare restringe o acesso do pessoal e aplica obrigações de confidencialidade nos termos da cláusula 3.1(d).
A equipe de suporte da TuxCare utiliza uma visualização somente leitura de um Workspace para prestar suporte.
O backup, a recuperação, a remoção de dados e a resposta a incidentes seguem os termos do contrato de serviço notificado e este Acordo de Tratamento de Dados (DPA).

Essas medidas não implicam que o Portal SecureChain possua uma certificação específica. Elas não alteram a obrigação de notificação de violação prevista na cláusula 3.1(e) nem os direitos previstos nas SCCs aplicáveis.

ANEXO 3 – LISTA DE SUBCONTRATADOS

A TuxCare recorre aos seguintes subprocessadores. O mecanismo de transferência utilizado para cada subprocessador está indicado na tabela. Qualquer subprocessador adicionado nos termos da cláusula 4.4 será listado aqui, juntamente com seu mecanismo de transferência.

Subcontratado	Localização	Certificação de segurança	Finalidade do tratamento	Mecanismo de transferência
Hetzner Online GmbH	Falkenstein, Alemanha	ISO 27001	Hospedagem de servidores e bancos de dados Backups	Não obrigatório (EEE)
Amazon Web Services, Inc.	Virgínia do Norte e Ohio, Estados Unidos	ISO 27001 SOC 2 Tipo 2	Armazenamento para backup e arquivamento	Estrutura de Privacidade de Dados; Cláusulas Contratuais Padrão (SCCs) como alternativa (cláusula 6.5)
Cloudflare, Inc.	Estados Unidos (rede global)	ISO 27001 SOC 2 Tipo 2	DNS para os domínios do serviço Entrega de e-mails do Workspace (Serviço de e-mail da Cloudflare)	Estrutura de Privacidade de Dados; Cláusulas Contratuais Padrão (SCCs) como alternativa (cláusula 6.5)
Google LLC	Estados Unidos	ISO 27001 SOC 2 Tipo 2	E-mail corporativo e armazenamento de documentos (Google Workspace) utilizados pela equipe da TuxCare, por exemplo, para correspondência relacionada ao suporte	Estrutura de Privacidade de Dados; Cláusulas Contratuais Padrão (SCCs) como alternativa (cláusula 6.5)