OBSERVAÇÃO: Esta tradução foi gerada automaticamente para a sua conveniência
apenas. A qualidade da tradução automática não se equipara à qualidade da tradução feita
por humanos e pode apresentar erros. Esta tradução é oferecida “COMO GERADA”, sem
garantias de exatidão, completude ou confiabilidade da tradução. No caso deinconsistências entre a versão deste acordo no idioma inglês e as suas versões traduzidas, aversão em inglês prevalecerá.
ADENDO DE PROCESSAMENTO DE DADOS
Data Revisão: 18 de dezembro de 2022

Se este Adendo de processamento de dados ("Adendo") estiver expressamente incorporado por
referência ao Acordo Principal (conforme definido na cláusula 2) entre a Sophos Limited, uma
empresa registrada na Inglaterra e no país de Gales número 2096520, com sede no Pentágono,
Abingdon Science Park, Abingdon, Oxfordshire, OX14 3YP, Reino Unido ("Fornecedor") e um
cliente do Fornecedor ("Cliente"), este Adendo faz parte do Contrato Principal e entra em vigor
entre o Fornecedor e o Cliente.
Os termos em maiúsculas usados neste Adendo são definidos conforme estabelecido na cláusula
2 abaixo. Mediante solicitação, poderemos fornecer uma cópia do presente Adendo em outro
idioma. Em caso de conflito, a versão em inglês da Adenda prevalecerão.
1.

PREÂMBULO

1.1.

As partes entraram no Contrato Principal com relação à provisão pelo Fornecedor ao Cliente de
determinados produtos e/ou serviços (coletivamente, “Produtos”).

1.2.

Se o Contrato Principal for um contrato MSP de forma semelhante ao contrato MSP localizado em
https://www.sophos.com/pt-br/legal/sophos-msp-partner-terms-and-conditions("Contrato
MSP"), o Cliente será um provedor de serviços gerenciados ("MSP"). Se o Contrato Principal for um
contrato OEM sob o qual o Cliente está autorizado a distribuir, sublicenciar ou disponibilizar aterceiros Produtos de Fornecedor em combinação com os produtos do Cliente como parte de uma
unidade agrupada ("Contrato OEM"), o Cliente é um fabricante de equipamento original ("OEM").
Caso contrário, o Cliente é um usuário final (“Usuário final”).

1.3.

O fornecimento dos Produtos pode incluir a coleta, o uso e outro processamento dos dados
pessoais do Controlador pelo Fornecedor em nome do Cliente. A presente Adenda estabelece asobrigações das partes no que diz respeito a esse tratamento e completa os termos e condições do
Acordo Principal.

1.4.

Não obstante qualquer outro termo do Contrato ou deste Adendo, as partes concordam que os
dados pessoais do Controlador não devem incluir informações de contato, pagamento ou
faturamento, ou outros dados pessoais sobre contatos comerciais e administradores do Cliente,incluindo nome, endereço de e-mail e informações de contato, Qual Fornecedor coleta e processa
em seu próprio nome para gerenciar seus relacionamentos com clientes, comunicar-se com
clientes atuais, antigos e potenciais e parceiros de negócios e, de outra forma, administrar seus
relacionamentos de negócios ("dados de CRM").

SPHS2022Dec

1 de 21

1.4.1. O Fornecedor é um Controlador de dados de CRM e processará os dados de CRM de acordo
com suas obrigações sob a Lei de proteção de dados aplicável e o Aviso de Privacidade do
Grupo de fornecedores .
1.4.2. Exceto no que diz respeito à Seção 1.4.1, as obrigações do Fornecedor de acordo com este
Adendo não se aplicam aos dados de CRM.
1.5.

O Contrato Principal, este Adendo e os documentos expressamente mencionados no Contrato
Principal e este Adendo constituirão o contrato integral entre as partes em relação aos dados
pessoais coletados, processados e usados pelo Fornecedor em nome do Cliente em conexão com
o Contrato Principal, e substituirá todos os acordos, acordos e entendimentos anteriores entre aspartes em relação a esse assunto.

2.

DEFINIÇÕES

2.1.

No presente Adendo, os seguintes termos terão os seguintes significados:"Leis de proteção de dados aplicáveis" significa, na medida do aplicável: (a) Regulamento da UE
2016/679 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que
diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geralde proteção de dados ou "GDPR"); (b) a Diretiva de Privacidade Eletrônica (Diretiva da UE
2002/58/EC); e (c) toda e qualquer legislação nacional aplicável em matéria de proteção de dados,
incluindo legislação feita nos termos das alíneas (a) ou (b); em cada caso, conforme possa seralterada ou substituída periodicamente.
"Beneficiário" tem o significado que lhe foi dado no Contrato MSP.
"CCPA" significa a Lei de Privacidade do Consumidor da Califórnia, conforme alterada pela Lei deDireitos de Privacidade da Califórnia de 2020), codificada em Cal. Civ. Código parágrafo 1798.100- 1798.199.100 e os Regulamentos da Lei de Privacidade do Consumidor da Califórnia emitidos aele, cal. Regs. De código tit. 11, div. 6, ch. 1, conforme alterado;"Cláusulas" devem ter o significado atribuído a ela nos SCCs.
"Controlador" significa: (a) o Cliente, se o Cliente for um usuário final; (b) o beneficiário, se oCliente for um MSP; ou (c) o Cliente final, se o Cliente for um OEM.
"Dados pessoais do Controlador" significa os dados pessoais que o Fornecedor processa em nome
do Controlador de acordo com os Serviços.
"Cláusulas do Controlador ao processador" significa as duas cláusulas do Módulo para os SCCs.
"Dados do CRM" significa informações de contato, informações de pagamento ou cobrança ou
outros dados pessoais sobre contatos comerciais e administradores do Cliente, incluindo nome,
endereço de e-mail e informações de contato, Qual Fornecedor coleta e processa em seu próprio
nome para gerenciar seus relacionamentos com clientes, comunicar-se com clientes atuais,
antigos e potenciais e parceiros de negócios e, de outra forma, administrar seus relacionamentos
de negócios.
"Sujeito dos dados" significa o indivíduo ao qual os dados pessoais da Sophos se relacionam.

SPHS2022Dec

2 de 21

"Solicitações de titulares de dados" significa quaisquer solicitações de titulares de dados queexerçam direitos de acordo com as leis de proteção de dados aplicáveis, incluindo seus direitos deacesso, exclusão e correção.
"EEE", o espaço Económico Europeu, incluindo (a) os Estados-Membros do espaço Económico
Europeu ("EEE") e (b) o Reino Unido.
"Cliente final" tem o significado que lhe foi atribuído no Contrato de OEM.
"Europa" (e "Europa"), a) os Estados-Membros do espaço Económico Europeu ("EEE") e b) o Reino
Unido.
"Produtos hospedados" significam os produtos listados no Anexo 3.
"ICO" significa o escritório do Comissário de Informação estabelecido no Reino Unido"Contrato Principal" significa, coletivamente, o(s) contrato(s) por escrito, incluindo e exibe, adendae emendas a ele, de acordo com o(s) qual(is) o Fornecedor fornece determinados Serviços ao
Cliente.
"Dados pessoais" significa qualquer informação que identifique, possa ser utilizada para identificar
ou esteja de outra forma vinculada ou razoavelmente vinculada a um indivíduo ou residência em
particular, bem como qualquer informação definida como "dados pessoais", "informações
pessoais" ou termo equivalente nos termos das leis e regulamentações de proteção de dados
aplicáveis.
"Violação de dados pessoais" significa uma violação de segurança (que não seja a causada pelo
Cliente ou seus usuários), levando à destruição acidental ou ilegal, perda, alteração, divulgação
não autorizada ou acesso a, Dados pessoais do Controlador processados pelo Fornecedor nos
termos deste Adendo.
"Processador" significa uma pessoa ou entidade que processa dados pessoais em nome e sob as
instruções do Controlador, incluindo qualquer entidade que atue como "prestador de serviços" deacordo com o CCPA.
"Transferência restrita" significa uma transferência de dados pessoais do Controlador pelo Clientepara o Fornecedor, onde tal transferência seria proibida pelas leis de proteção de dados aplicáveis
na ausência das cláusulas contratuais padrão aplicáveis e, quando aplicável, do Adendo do Reino
Unido.
"Dados confidenciais" significa "categorias especiais de dados pessoais", "dados pessoais
confidenciais", "dados confidenciais" e termo equivalente, conforme definido nas leis de proteção
de dados aplicáveis.
"Serviços" significa todos e quaisquer produtos fornecidos e/ou serviços executados pelo
Fornecedor de acordo com o Contrato Principal.
"Cláusulas contratuais-tipo" ou "SCCs" , as cláusulas contratuais-tipo para a transferência de dados
pessoais para países terceiros, em conformidade com o Regulamento (UE) 2016/679 do

SPHS2022Dec

3 de 21

Parlamento Europeu e do Conselho, aprovado pela decisão de execução da Comissão Europeia(UE) 2021/914 de 4 de Junho de 2021.
"Subprocessador" significa qualquer pessoa ou entidade (excluindo qualquer funcionário do
Fornecedor) ou entidade nomeada pelo Fornecedor ou em nome dele que processa os dados
pessoais do Controlador.
"Autoridade Supervisora" significa a autoridade reguladora competente em relação às leis eregulamentações de proteção de dados aplicáveis, incluindo, quando aplicável, uma autoridadede supervisão conforme definido no GDPR.
"Adendo do Reino Unido" significa o Adendo de Transferência de dados Internacional às cláusulas
contratuais padrão da Comissão da UE, emitido pela OIC, conforme alterado ou substituído
periodicamente por uma Autoridade Supervisora competente de acordo com as leis de proteção
de dados relevantes do Reino Unido
2.2.

No presente Adendo, os termos em minúsculas "controlador", "processador", "sujeito dos dados","dados pessoais" e "processamento" (e derivados) terão os significados dados na Lei de proteção
de dados aplicável.

3.

ESCOPO

3.1.

O assunto e a duração do processamento dos Dados pessoais do Controlador pelo Fornecedor,
incluindo a natureza e a finalidade do processamento, os tipos de Dados pessoais do Controladora serem processados e as categorias de titulares dos dados, serão descritos em: (a) este Adendo;(b) o Contrato Principal; (c) quaisquer instruções no Anexo 1 (instruções de processamento dedados); e (d) as instruções do Cliente emitidas de acordo com a cláusula 4 abaixo.

3.2.

O Cliente é responsável por garantir (a) que o Controlador tenha uma base legal para oprocessamento dos dados pessoais do Controlador que serão realizados pelo Fornecedor em nome
do Cliente, E (b) que o Controlador obteve todos os consentimentos necessários de titulares dedados que podem ser necessários para o processamento de dados pessoais do Controlador pelo
Cliente e pelo Fornecedor (incluindo, mas sem limitação, em relação a dados confidenciais); E (c)que, de outra forma, esteja em conformidade com, e garantirá que suas instruções ao Fornecedor
para o processamento de dados pessoais do Controlador estejam em conformidade com as leis deproteção de dados aplicáveis.

3.3.

As partes concordam que o Fornecedor é um processador ou Subprocessador para dados pessoais
do Controlador, e o Cliente é (a) o Controlador onde o Cliente é um usuário final ou (b) um
processador ((para um controlador de terceiros) onde o Cliente é um MSP ou OEM.

4.

INSTRUÇÕES AO CLIENTE

4.1.

O Cliente instrui o Fornecedor a processar os dados pessoais do Controlador conforme
razoavelmente necessário para fornecer e executar os Serviços e conforme estabelecido aqui e noContrato Principal. O Fornecedor deverá processar os dados pessoais do Controlador de acordo
com as instruções de processamento documentadas do Cliente, conforme estabelecido neste
documento, exceto (a) quando acordado de outra forma por escrito entre o Fornecedor e o

SPHS2022Dec

4 de 21

Cliente; Ou (b) quando exigido por lei a que o Fornecedor está sujeito (nesse caso, o Fornecedor
deverá informar o Cliente sobre esse requisito legal antes do processamento, a menos que essa lei
proíba o fornecimento de tais informações).
4.2.

Se o Fornecedor tomar conhecimento de que as instruções de processamento do Cliente violam
as leis de proteção de dados aplicáveis (sem impor qualquer obrigação ao Fornecedor de monitorar
ativamente a conformidade do Cliente), ele notificará imediatamente o Cliente sobre o mesmo
processamento dos Dados pessoais do Controlador e suspenderá o processamento dos mesmos.

4.3.

Sem limitar a descontinuidade, na medida em que a Lei de Privacidade do Consumidor da Califórnia
("CCPA") se aplica aos dados pessoais do Controlador, o Fornecedor concorda ainda que:
4.3.1. O Fornecedor não usará, divulgará ou de outra forma processará os dados pessoais doControlador, exceto para a finalidade específica de executar os Serviços, de acordo com os
termos deste Adendo e do Contrato Principal, e conforme exigido pelas leis aplicáveis. Não
obstante o acima exposto:a.

O Fornecedor pode contratar Subprocessadores para processar dados pessoais doControlador, sujeito aos termos da Seção 7;b.

O Fornecedor não processará os dados pessoais do Controlador fora do relacionamentocomercial direto entre o Cliente e o Fornecedor ou para fins comerciais do próprio
Fornecedor; Não obstante o acima exposto, as Partes concordam que, na medida em queo CCPA se aplicar, o Fornecedor processará apenas os dados pessoais do Controlador paraos fins comerciais específicos estabelecidos no Contrato Principal e neste Adendo ou paraoutro fim expressamente autorizado de acordo com os regulamentos do CCPA.

c.

O Fornecedor não "compartilhará" nem "venderá" (uma vez que esses termos são
definidos no CCPA) quaisquer dados pessoais do Controlador;d.

O Fornecedor deverá (e obterá que cada Subprocessador irá) cumprir suas obrigações deacordo com o CCPA e fornecerá o mesmo nível de proteção de privacidade exigido pelo
CCPA; e.

e.

Se o Fornecedor acreditar que não poderá cumprir os termos deste Adendo ou as leis deproteção de dados aplicáveis, O Fornecedor notificará imediatamente o Cliente e
concederá ao Cliente o direito de tomar medidas razoáveis e apropriadas para garantir que
os dados pessoais do Controlador sejam processados de maneira consistente com asobrigações do Controlador segundo o CCPA.

f.

O Fornecedor não reterá os dados pessoais do Controlador após a expiração ou rescisão doContrato Principal, exceto conforme estabelecido na Seção Error! Reference source notfound.;

5.

OBRIGAÇÕES DO FORNECEDOR

5.1.

Todo o pessoal do Fornecedor que processar os Dados pessoais do Controlador deverá seradequadamente treinado em relação a suas obrigações de proteção de dados, segurança e

SPHS2022Dec

5 de 21

confidencialidade e estará sujeito a obrigações por escrito ou estatutárias para manter aconfidencialidade.
5.2.

O Fornecedor implementará medidas técnicas e organizacionais adequadas para garantir um nível
de segurança adequado ao risco e para proteger os Dados pessoais do Controlador contra uma
violação de dados pessoais. Essas medidas terão em conta o estado da arte, os custos de execução
e a natureza, o âmbito de aplicação, contexto e objetivos de tratamento, bem como o risco devariarem probabilidade e gravidade dos direitos e liberdades das pessoas singulares, a fim deassegurar um nível de segurança adequado ao risco. Em particular, as medidas tomadas pelo
Fornecedor deverão incluir as descritas no Anexo 2 deste Adendo. O Fornecedor pode alterar ou
corrigir as medidas técnicas e organizacionais descritas no Anexo 2 sem o consentimento prévio
por escrito do Cliente, desde que o Fornecedor mantenha pelo menos um nível equivalente deproteção. Mediante solicitação do Cliente, o Fornecedor fornecerá uma descrição atualizada das
medidas técnicas e organizacionais no formulário, conforme apresentado no Anexo 2.

5.3.

O Fornecedor deverá seguir os requisitos especificados na cláusula 7 abaixo para envolver
qualquer Subprocessador no processamento de dados pessoais do Controlador.

5.4.

O Fornecedor deverá seguir os requisitos especificados na Cláusula 8 abaixo para ajudar o Clientea responder a consultas de terceiros, incluindo quaisquer solicitações de titulares de dados para
exercer seus direitos de acordo com as leis de proteção de dados aplicáveis.

5.5.

Ao confirmar a ocorrência de qualquer violação de dados pessoais, o Fornecedor deverá informaro Cliente sem demora injustificada e deverá fornecer todas as informações e a cooperação em
tempo hábil que o Cliente possa razoavelmente exigir para o Cliente (e, se o Cliente for um MSP
ou OEM, seu Controlador) Cumprir suas obrigações de relatório de violação de dados de acordocom (e de acordo com os prazos exigidos pela) Lei de proteção de dados aplicável. O Fornecedor
deverá tomar medidas e ações adicionais conforme razoavelmente necessário para remediar ou
atenuar os efeitos da violação de dados pessoais e manterá o Cliente informado sobre
desenvolvimentos relacionados à violação de dados pessoais.

5.6.

O Fornecedor deverá fornecer ao Cliente (ou, se o Cliente for um MSP ou OEM, seu Controlador)
assistência razoável e oportuna como o Cliente (ou, conforme aplicável, o Controlador) Pode exigir
a realização de uma avaliação de impactos da proteção de dados ou outra avaliação que seja
exigida para ser conduzida pelas leis de proteção de dados aplicáveis e, se necessário, consultar
sua autoridade relevante de proteção de dados. Essa assistência deve ser fornecida às custas do
Cliente.

5.7.

O Fornecedor deverá, salvo disposição em contrário da lei aplicável, excluir os dados pessoais doControlador dentro de um periodo razoável após a rescisão ou expiração deste Adendo, a menosque proibido pela lei aplicável. Mediante solicitação, o Fornecedor confirmará ao Cliente que tais
dados pessoais do Controlador foram excluídos de acordo com este Adendo. Se o Fornecedor forexigido pelas leis aplicáveis para reter quaisquer dados pessoais do Controlador, o Fornecedor
deverá tomar medidas para garantir a confidencialidade e a segurança contínuas dos dados
pessoais do Controlador enquanto eles forem mantidos.

6.

DIREITOS DE AUDITORIA DO CLIENTESPHS2022Dec

6 de 21

6.1.

O Cliente reconhece que o Fornecedor é auditado regularmente em relação aos padrões SSAE 18
SOC 2 por auditores independentes de terceiros. Mediante solicitação razoável, o Fornecedor
deverá fornecer uma cópia de seu relatório de auditoria do SOC 2 ao Cliente, que será subordinado
às disposições de confidencialidade do Contrato Principal como informações confidenciais do
Fornecedor. O Fornecedor também responderá a quaisquer perguntas de auditoria por escritorazoáveis enviadas ao Cliente, desde que o Cliente não exerça esse direito mais de uma vez por
ano.

6.2.

Se, na opinião razoável do Cliente, os materiais fornecidos na cláusula 6.1 forem insuficientes parademonstrar a conformidade do Fornecedor com este Adendo, o Cliente poderá solicitar por escritoe sujeito à cláusula 6.2 (a) - (d) neste documento, Que o Fornecedor disponibilize ao Cliente todas
as informações razoavelmente necessárias para demonstrar a conformidade com as obrigações
estabelecidas neste Adendo (incluindo as cláusulas contratuais padrão na medida do aplicável) epermitir e contribuir para auditorias, incluindo inspeções, por parte do Cliente ou do Cliente
independente, Auditor terceirizado que não seja concorrente do Fornecedor das atividades deprocessamento cobertas por este Adendo.
a.

Antes de solicitar uma revisão ou auditoria de acordo com esta cláusula 6.2, o Cliente levará
em consideração as certificações e auditorias relevantes de terceiros do Fornecedor
descritas na cláusula 6.1;b.

O Cliente dará à Processor um aviso razoável, com pelo menos 60 dias de antecedência, deuma solicitação para realizar uma auditoria ou inspeção nos termos desta cláusula 6.2, etomará (e garantirá que cada um de seus auditores tome) medidas razoáveis para evitar eevitar qualquer dano ou lesão e minimizar qualquer interrupção de tal auditoria ou
inspeção;c.

Uma auditoria ou inspeção será realizada no máximo uma vez por ano, exceto quando
exigido por uma Autoridade Supervisora ou pelas leis de proteção de dados aplicáveis; e.

d.

O Cliente deverá arcar com os custos totais de tal auditoria e reembolsará o Fornecedor
pelos custos e despesas razoáveis incorridos pelo Fornecedor de acordo com tais
auditorias, incluindo qualquer tempo gasto pelo Fornecedor, suas afiliadas ou seus
Subprocessadores para qualquer auditoria ou inspeção nas taxas de serviços profissionais
vigentes do Fornecedor, Que deve ser disponibilizada ao Cliente mediante solicitação.

7.

SUBPROCESSORES

7.1.

O Cliente concorda com o uso dos Subprocessadores existentes do Fornecedor na data deste
Adendo,queestãolistados
emhttps://www.sophos.com/pt-br/legal("ListadeSubprocessadores"), bem como as afiliadas do Fornecedor. O Cliente consente expressamente
com o compromisso do Fornecedor de Subprocessadores adicionais de terceiros (cada um "Novo
Subprocessador") sujeito aos termos estabelecidos nesta cláusula 7. O Fornecedor fornecerá ao
Cliente um aviso prévio de trinta (30) dias antes da adição de qualquer Novo Subprocessador, que
poderá ser fornecido mediante a publicação de detalhes de tal adição à Lista de Subprocessadores.

SPHS2022Dec

7 de 21

7.2.

Se o Cliente não se opor por escrito à nomeação do Fornecedor de um Novo Subprocessador (pormotivos razoáveis relacionados à proteção dos Dados pessoais do Controlador) dentro de 30 dias
após o Fornecedor adicionar esse Novo Subprocessador à Lista de Subprocessadores, O Clienteconcorda que será considerado que consentiu com esse Novo Subprocessador. Se o Cliente
apresentar tal objeção por escrito ao Fornecedor, o Fornecedor notificará o Cliente por escrito
dentro de 30 dias que: (a) o Fornecedor não usará o Novo Subprocessador para processar os Dados
pessoais do Controlador; ou (b) o Fornecedor não pode ou não deseja fazê-lo. Se a notificação noparágrafo (b) for dada, o Cliente poderá, no prazo de 30 dias a contar dessa notificação, Optar por
rescindir este Adendo e o Contrato Principal referente ao processamento afetado mediante
notificação por escrito ao Fornecedor e ao Fornecedor deverá ser aplicável somente aos clientes
localizados dentro do espaço Econômico Europeu e do Reino Unido, autorizar um reembolso
proporcional ou crédito de quaisquer taxas pré-pagas para o periodo restante após a rescisão. No
entanto, se nenhuma notificação de rescisão for fornecida dentro desse prazo, o Cliente seráconsiderado como tendo consentido com o Novo Subprocessador. O Fornecedor imporá termosde proteção de dados aos novos Subprocessadores que imponham proteções equivalentes paraos dados pessoais do Controlador, conforme previsto neste Adendo. O Fornecedor permanecerá
totalmente responsável pelo desempenho das obrigações de cada Subprocessador.

8.

CONSULTAS DE TERCEIROS

8.1.

O Fornecedor deverá notificar o Cliente de qualquer solicitação de privacidade, correspondência,
consulta ou reclamação que receba de um titular de dados, regulador ou outro terceiro em
conexão com o processamento dos dados pessoais do Controlador, fornecendo detalhes
completos do mesmo, mas não responderá diretamente ao titular dos dados, exceto quando
exigido por lei.

8.2.

Na medida do necessário, o Fornecedor prestará assistência razoável e em tempo hábil ao Cliente(ou, se o Cliente for um MSP ou OEM, o Controlador), às custas do Cliente, para permitir que o
Cliente (ou se o Cliente for um MSP ou OEM, o Controlador) responda a: A) um pedido de dados
sujeitos a exercer os seus direitos ao abrigo da Lei de proteção de dados aplicável (incluindo, sefor caso disso, os seus direitos de acesso, correção, objeção, eliminação e portabilidade de dados,
Como e (b) uma solicitação recebida de um regulador ou de outro terceiro em conexão com oprocessamento dos dados pessoais do Controlador.

9.

TRANSFERÊNCIAS DE DADOS INTERNACIONAIS

9.1.

Determinados Produtos podem permitir que o Cliente selecione onde hospedar os dados pessoais
do Controlador para tais Produtos, inclusive em data centers que podem estar localizados fora dajurisdição de origem dos dados. Esses locais podem incluir (a) o espaço Econômico Europeu, (b) oReino Unido, (c) os Estados Unidos da América ou outro local, conforme especificado no Acordo
Principal ("local de armazenamento Central"). Essa seleção ocorre no ponto de instalação do
Produto, criação de conta ou primeiro uso do Produto relevante. Uma vez selecionado, o local dearmazenamento central não pode ser alterado posteriormente.

SPHS2022Dec

8 de 21

9.2.

O Cliente declara e consente expressamente, independentemente do local de armazenamento
central selecionado (se relevante), em Transferências restritas, sujeito à conformidade com asobrigações estabelecidas nesta cláusula 9.

9.3.

Com relação a qualquer Transferência restrita:
9.3.1. Os SCCs e a Adenda do Reino Unido estão expressamente incorporados à presente decisão
e fazem parte da presente Adenda;
9.3.2. Sujeito à Seção 9.3.3 e ao Anexo 4 deste documento, o Cliente e o Fornecedor entram e
concordam com: (i) os SCCs, que se aplicarão à extensão de uma Transferência restrita dedados pessoais do Controlador ao Fornecedor; E (II) o Adendo do Reino Unido, que seaplicará a, e modificará e complementará os SCCs em relação a qualquer Transferência
restrita de dados pessoais do Controlador que esteja sujeita às leis e regulamentações deproteção de dados do Reino Unido; e.
9.3.3. O Módulo 2 dos SCCs será aplicável, sujeito aos termos do Anexo 4 deste documento.

9.4.

O Apêndice dos SCC deve ser preenchido conforme estabelecido no Anexo 4 abaixo.

10.

DURAÇÃO

10.1.

A presente Adenda começa mediante (a) execução por ambas as partes do Acordo Principal ou(b) a data em que o Acordo Principal entra em vigor, se for posterior e se mantiver até ao iníciode: (i) a expiração do direito do Cliente de usar e receber os Produtos, conforme observado noContrato Principal ou em qualquer direito de licença associado; e (II) a rescisão do Contrato
Principal.

11.

OUTROS REGULAMENTOS

11.1.

As modificações e alterações à presente Adenda exigem o formulário escrito. Isso também seaplica a alterações e modificações nesta cláusula11.1.

11.2.

Em hipótese alguma a responsabilidade do Fornecedor perante o Cliente em relação a qualquer
problema decorrente ou relacionado a este Adendo excederá as limitações de responsabilidade
do Fornecedor estabelecidas no Contrato Principal. As limitações de responsabilidade doFornecedor, conforme estabelecido no Contrato Principal, serão aplicadas de forma agregada em
todo o Contrato Principal e este Adendo, de forma que uma única limitação do regime deresponsabilidade se aplique tanto no Contrato Principal quanto neste Adendo.

11.3.

Este Adendo (excluindo os SCCs) será regido e interpretado de acordo com as leis da Inglaterra e
do país de Gales, sem considerar conflitos de princípios legais. Na medida do permitido pela lei
aplicável, os tribunais da Inglaterra terão jurisdição exclusiva para determinar qualquer disputa
ou reivindicação que possa surgir de, sob ou em conexão com este Adendo.

11.4.

Na medida em que houver qualquer conflito com os termos deste Adendo de processamento dedados e com os termos de qualquer SCC inserido pelas partes, os termos do SCC aplicável(incluindo quaisquer anexos) terão precedência.

12.

MUDANÇAS NA LEISPHS2022Dec

9 de 21

12.1.

Se qualquer emenda a este Adendo for exigida como resultado de uma alteração nas leis deproteção de dados aplicáveis, qualquer uma das partes poderá fornecer notificação por escrito à
outra parte dessa alteração na lei. As partes discutirão e negociarão de boa fé quaisquer variações
necessárias à presente Adenda para tratar dessas alterações. As partes não recusarão
injustificadamente o consentimento ou a aprovação para alterar este Adendo de acordo com apresente Seção 12 ou de outra forma.

12.2.

Caso as cláusulas contratuais padrão ou o Adendo do Reino Unido sejam substituídos, atualizados
ou substituídos por uma nova versão ("novas cláusulas"), o Cliente concorda que o Fornecedor
poderá, mediante aviso prévio por escrito ao Cliente, atualizar este Adendo conforme necessáriopara incorporar tais novas cláusulas, Como uma emenda ou substituição das cláusulas contratuaispadrão anteriores ou do Adendo do Reino Unido.

SPHS2022Dec

10 de 21

Anexo 1
DESCRIÇÃO DO PROCESSAMENTO
Este Anexo 1 descreve o processamento que o Fornecedor executará em nome do Cliente.
(a)Assunto, natureza e finalidade das operações de transformação

Os Dados pessoais do Controlador estarão sujeitos às seguintes atividades básicas deprocessamento (especifique):

Fornecer os Produtos adquiridos pelo Cliente nos termos e nos termos do Contrato
Principal

Fornecer serviços de gerenciamento de contas e suporte técnico ao cliente

O Fornecedor fornece Produtos projetados para detetar, prevenir e gerenciar ou ajudar oFornecedor a detetar, prevenir e gerenciar ameaças de segurança dentro ou contra sistemas,
redes, dispositivos, arquivos e outros dados disponibilizados pelo Cliente. O conteúdo dequalquer informação contida nesses sistemas, redes, dispositivos, arquivos e outros dados édeterminado exclusivamente pelo Cliente e não pelo Fornecedor.
(b)

Duração das operações de tratamento:

Os Dados pessoais do Controlador serão processados pela seguinte duração (especifique):A duração especificada no Contrato Principal (ou para a vigência do Contrato
Principal, se não especificado de outra forma).
(c)

Assuntos de dados

Os Dados pessoais do Controlador referem-se às seguintes categorias de titulares de dados(especifique):(d)•Equipe e usuários finais dos clientes•

Outros titulares dos dados cujos dados pessoais são processados em nome do
Cliente relacionados aos Produtos Sophos

Tipos de dados pessoais

Os Dados pessoais do Controlador referem-se às seguintes categorias de dados (especifique): Nomes de usuário e outros identificadores
 Informações de atividade de rede e rede Outras informações que podem ser transmitidas ou processadas em relação aos
Produtos Sophos(e)Categorias especiais de dados (se for caso disso)

SPHS2022Dec

11 de 21

Os Dados pessoais do Controlador referem-se às seguintes categorias especiais de dados(especifique):A menos que especificado de outra forma, os Produtos do Fornecedor não são
projetados para processar categorias especiais de dados.

SPHS2022Dec

12 de 21

Anexo 2
MEDIDAS TÉCNICAS E ORGANIZACIONAIS
Algumas dessas medidas só podem ser relevantes ou aplicáveis aos Produtos hospedados.
1. Controle de Acesso físico.
(a) a Sophos tem uma política de controle de acesso físico;(b) todos os funcionários têm identificação/crachás de acesso;(c) as entradas das instalações são protegidas por crachás ou chaves de acesso;(d) as instalações são divididas em (i) áreas de acesso público (como áreas de receção), (II)áreas de acesso geral dos funcionários, E (iii) áreas de acesso restrito que só podem seracessadas por pessoas com necessidades comerciais expressas;(e) crachás de acesso e chaves controlam o acesso a áreas restritas dentro de cadainstalação, de acordo com os níveis de acesso autorizados de um indivíduo;(f) os níveis de acesso para indivíduos são aprovados pelos membros da equipe sênior e sãoverificados trimestralmente;(g) a equipe de receção e/ou segurança está presente nas entradas de locais maiores;(h) as instalações são protegidas por alarmes;(i) os visitantes são pré-registrados e os registros de visitantes são mantidos.
2. Controle de acesso ao sistema.
(a) a Sophos tem uma política lógica de controle de acesso;(b) a rede é protegida por firewalls em cada conexão com a Internet;(c) a rede interna é segmentada por firewalls com base na sensibilidade do aplicativo;(d) o IDS e outros controles de deteção e bloqueio de ameaças são executados em todos os
firewalls;(e) a filtragem do tráfego de rede baseia-se em regras que aplicam o princípio do "menor
acesso";(f) os direitos de acesso só são concedidos ao pessoal autorizado na medida e durante aduração necessárias para desempenhar as suas funções e são revistos trimestralmente;(g) o acesso a todos os sistemas e aplicativos é controlado por um procedimento de logon
seguro;(h) os indivíduos têm IDs de usuário e senhas exclusivas para seu próprio uso;(i) as senhas são testadas quanto à segurança e as alterações são aplicadas a senhas fracas;(j) as telas e sessões são bloqueadas automaticamente após um periodo de inatividade;(k) os produtos de proteção contra malware da Sophos são instalados como padrão;(l) verificações regulares de vulnerabilidade são conduzidas em endereços IP e sistemas;(m) os sistemas são corrigidos em um ciclo regular com um sistema de priorização para
rastreamento rápido de patches urgentes.
3. Controle de acesso a dados.
(a) a Sophos possui uma política lógica de controle de acesso;(b) os direitos de acesso são concedidos apenas ao pessoal autorizado na medida e duranteo tempo necessário para desempenhar suas funções e são revisados trimestralmente;

SPHS2022Dec

13 de 21(c) o acesso a todos os sistemas e aplicativos é controlado por um procedimento seguro delogon;(d) as pessoas têm IDs de usuário e senhas exclusivas para seu próprio uso;(e) as senhas são testadas e as alterações são aplicadas a senhas fracas;(f) as telas e sessões são bloqueadas automaticamente após um periodo de inatividade;(g) os notebooks são criptografados usando produtos de criptografia Sophos;(h) os remetentes são direcionados a considerar a criptografia de arquivos antes de enviar
qualquer e-mail externo.
4. Controle de Entrada.
(a) o acesso a todos os sistemas e aplicativos é controlado por um procedimento de logon
seguro;(b) indivíduos têm IDs de usuário e senhas exclusivas para seu próprio uso;(c) os Produtos Sophos Central usam criptografia de camada de transferência para proteger
os dados em trânsito;(d) a comunicação entre o software cliente e o sistema Sophos de back-end é realizada via
HTTPS para proteger os dados em trânsito, estabelecendo comunicação confiável por meiode certificados e validação de servidor.
5. Controle de Subcontratados.
(a) os subcontratados com acesso aos dados realizam um procedimento de verificação desegurança de TI antes da integração e conforme necessário a partir daí;(b) os contratos contêm obrigações apropriadas de confidencialidade e proteção de dados
com base nas obrigações do subcontratado.
6. Controle de disponibilidade.
(a) a Sophos protege suas instalações contra incêndio, enchentes e outros riscos
ambientais;(b) geradores de backup estão disponíveis para manter fontes de alimentação em caso defalta de energia;(c) os data centers e as salas de servidores usam controles e monitoramento de clima;(d) o sistema Sophos Central tem balanceamento de carga e failover entre três locais, cadaum executando duas instâncias do software, qualquer uma das quais é capaz de fornecer oserviço completo.
7. Controle de segregação.
(a) a Sophos mantém e aplica um processo de controle de qualidade para a implantação denovos produtos de clientes;(b) os ambientes de teste e produção são separados;(c) novos softwares, sistemas e desenvolvimentos são testados antes do lançamento noambiente de produção.

SPHS2022Dec

14 de 21

8. Controle Organizacional.
(a) a Sophos tem uma equipe de segurança de TI dedicada;(b) a equipe de risco e conformidade gerencia relatórios e controles de risco interno, que
incluem relatórios sobre os principais riscos para o gerenciamento;(c) um processo de resposta a incidentes identifica e repara riscos e vulnerabilidades em
tempo hábil;(d) cada novo funcionário realiza treinamento em proteção de dados e segurança de TI;(e) o departamento de segurança de TI realiza campanhas trimestrais de conscientização
sobre segurança.

SPHS2022Dec

15 de 21

Anexo 3
PRODUTOS HOSPEDADOS(a) Sophos Central(b) Sophos Cloud Optix(c) Central Device Encryption(d) Central Endpoint Protection(e) Central Endpoint Intercept X(f) Central Endpoint Intercept X Advanced(g) Central Mobile Advanced(h) Central Mobile Standard(i) Central Phish Threat(j) Central Intercept X Advanced for Server(k) Central Server Protection(l) Central Mobile Security(m) Central Web Gateway Advanced(n) Central Web Gateway Standard(o) Central Email Standard(p) Central Email Advanced(q) Central Wireless Standard(r) Qualquer outro produto Sophos administrado e operado via Sophos Central

SPHS2022Dec

16 de 21

Anexo 4
TERMOS ADICIONAIS PARA TRANSFERÊNCIAS RESTRITAS
Este Anexo inclui termos adicionais aplicáveis a Transferências restritas por ou em nome do
Cliente ao Fornecedor, de acordo com o Adendo, bem como as informações necessárias para
completar os Apêndices (Anexos I a III) aos SCCs aplicáveis.
Ao concordar com o Adendo, as Partes concordam e, portanto, executam os SCCs em todas aspartes relevantes, sujeito à Seção Error! Reference source not found.do Adendo e aos termos
deste Anexo.
1.

Os termos em maiúsculas usados, mas não definidos neste Anexo ou de outra forma no
Adendo, terão os significados atribuídos a eles sob os SCCs e o Adendo do Reino Unido,
conforme aplicável.

2.

O Módulo 2 dos SCCs será aplicável, sujeito aos termos deste Anexo e o Apêndice dos
SCCs deverá ser preenchido com referência ao Anexo A deste documento.

3.

Para os propósitos dos SCCs (Módulo 2):

3.1.

Cláusula 7: A cláusula opcional de encaixe não se aplica;

3.2.

Cláusula 9(a): A opção 2 (Autorização Geral) é aplicável e o importador de dados deve
notificar o exportador de dados por escrito, pelo menos, 30 dias antes de qualquer
alteração prevista.

3.3.

Cláusula 11: O idioma opcional não se aplica.

3.4.

Para efeitos da alínea a) do ponto 13, a autoridade de supervisão competente é aplicável
do seguinte modo:
3.4.1. Quando o exportador de dados estiver estabelecido num Estado-Membro da UE,
a autoridade de supervisão será a autoridade de supervisão competente para ajurisdição em que o exportador de dados está estabelecido;
3.4.2. Quando o exportador de dados estiver estabelecido no Reino Unido ou a
Transferência restrita estiver sujeita às leis e regulamentações de proteção dedados do Reino Unido, a autoridade de supervisão competente será o escritório
do Comissário de informações do Reino Unido;
3.4.3. Quando o exportador de dados estiver estabelecido na Suíça ou a Transferência
restrita estiver sujeita às leis e regulamentações de proteção de dados da Suíça,
o Comissário Federal de proteção e informações da Suíça atuará como
autoridade de supervisão competente; e.
3.4.4. Quando o exportador de dados não estiver estabelecido num Estado-Membro daUE, no Reino Unido ou na Suíça, No entanto, é abrangida pelo âmbito deaplicação territorial do Regulamento (UE) n.o 2016/679 nos termos do n.o 2 doartigo 3.o, a autoridade de supervisão será a autoridade de supervisão

SPHS2022Dec

17 de 21

competente para a jurisdição em que o representante do exportador de dados
está estabelecido, nomeadamente o Comissário responsável pela proteção dedados da Irlanda.
4.

Para efeitos da Cláusula 17 e da Cláusula 18(b), respetivamente, o SCC será regido pelas
leis da República da Irlanda. As disputas serão resolvidas perante os tribunais da Irlanda,
exceto que: (i) quando o exportador de dados estiver estabelecido na Suíça ou a
Transferência restrita estiver sujeita às leis e regulamentações de proteção de dados daSuíça, o SCC será regido pelas leis e disputas serão resolvidas perante os tribunais da
Suíça; E (II) quando o exportador de dados estiver estabelecido no Reino Unido ou a
Transferência restrita estiver sujeita às leis e regulamentações de proteção de dados do
Reino Unido, o SCC será regido pelas leis do Reino Unido, e as disputas serão resolvidas
perante os tribunais do Reino Unido.

5.

Termos adicionais para a Suíça. Quando o exportador de dados estiver estabelecido na
Suíça ou a Transferência restrita estiver sujeita às leis e regulamentações de proteção dedados da Suíça: (i) as referências nos SCCs a "União Europeia", "União" ou "Estado
membro" significam a Suíça; (ii) as referências ao GDPR também incluirão a referência às
disposições equivalentes do ato Federal Suíço sobre proteção de dados (conforme
alterado ou substituído); E (iii) os SCCs também se aplicam à transferência de informações
relacionadas a uma entidade legal identificada ou identificável na medida em que tais
informações sejam protegidas como dados pessoais de acordo com as leis eregulamentações de proteção de dados aplicáveis da Suíça.

6.

Termos adicionais para o Reino Unido . Quando o exportador de dados estiver
estabelecido no Reino Unido ou a Transferência restrita estiver sujeita às leis eregulamentações de proteção de dados do Reino Unido:

6.1.

Os SCCs devem ser lidos de acordo com, e considerados alterados por, as disposições daparte 2 (cláusulas obrigatórias) do Adendo do Reino Unido; e.

6.2.

Para os fins da primeira parte, as Tabelas 1 e 2 são preenchidas com referência aos Anexos
A e B (conforme aplicável) deste Anexo, a Tabela 3 é preenchida com referência às
informações deste Anexo, E para efeitos do quadro 4, o importador de dados podeterminar a Adenda ao Reino Unido, tal como definida no ponto 19 da Adenda ao Reino
Unido.

SPHS2022Dec

18 de 21

Anexo A do Anexo 4APÊNDICE AOS SCCS (MÓDULO 2): TRANSFERÊNCIAS RESTRITAS DE CONTROLADOR PARAPROCESSADORANEXO I
A. LISTA DE PARTES
1. Exportador(es) de dados: [identidade e dados de contacto do(s) exportador(es) de dados e,
se for caso disso, do seu/seu(s) responsável(is) pela proteção de dados e/ou representante(s) na
União Europeia]
Nome

Conforme fornecido ao Fornecedor sob o Contrato Principal

Endereço

Conforme fornecido ao Fornecedor sob o Contrato Principal

Outras informações
necessárias para
identificar a
Organização

Conforme fornecido ao Fornecedor sob o Contrato Principal

Nome da pessoa decontato:Conforme fornecido ao Fornecedor sob o Contrato Principal

Posição:Detalhes de contato:
Atividades relevantes
para os dados
transferidos sob esses
SCCs

Conforme estabelecido na cláusula 3 do Adendo acimaFunçãoControlador

Assinatura e data do exportador de dados: Os SCCs (módulo 2), juntamente com o presenteapêndice e os anexos, são executados como parte da Adenda.

2. Importador(es) de dados: [identidade e detalhes de contato do(s) importador(es) de dados,
incluindo qualquer pessoa de contato responsável pela proteção de dados]
Nome

Sophos Limited (para e em nome de suas subsidiárias na UE e na
Suíça)

Endereço

The Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, UK

SPHS2022Dec

19 de 21

Outras informações
necessárias para
identificar a
Organização

Número de registro 2096520

Nome da pessoa decontato:Consultor de privacidade
dataprotection@sophos.com

Posição:Detalhes de contato:
Atividades relevantes
para os dados
transferidos sob esses
SCCs

De acordo com o Contrato

Assinatura e data do importador de dados: Os SCCs (módulo 2), juntamente com o presenteapêndice e os anexos, são executados como parte da Adenda.

B. DESCRIÇÃO DA TRANSFERÊNCIA
1.1.

Categorias de titulares de dados cujos dados pessoais são transferidos.
Conforme estabelecido no Anexo 1, parte A.

1.2 Categorias de dados pessoais transferidos.
Conforme estabelecido no Anexo 1, parte A.
Dados confidenciais transferidos (se aplicável) e restrições ou salvaguardas aplicadas que levam
totalmente em consideração a natureza dos dados e os riscos envolvidos, como, por exemplo,
limitação de propósito estrito, restrições de acesso (incluindo acesso somente para funcionários
que seguiram treinamento especializado), mantendo um registro de acesso aos dados, restrições
para transferências posteriores ou medidas de segurança adicionais.
Nenhum.
A frequência da transferência (por exemplo, se os dados são transferidos individualmente ou
continuamente).
Contínuo.
Natureza do processamento
Fornecer os Serviços adquiridos pela Sophos sob e de acordo com o Contrato.
Finalidade(s) da transferência de dados e processamento posterior
SPHS2022Dec

20 de 21

O Fornecedor processará os dados pessoais do Controlador conforme necessário para
executar os Serviços de acordo com o Contrato e conforme instruído pela Sophos em
seu uso dos Serviços.
O periodo para o qual os dados pessoais serão mantidos ou, se isso não for possível, os critérios
usados para determinar esse periodo
Sujeito à Seção 10 do Adendo, o Fornecedor processará os dados pessoais durante avigência do Contrato, salvo acordo em contrário por escrito.
Para transferências para processadores (sub-), especifique também o assunto, a natureza e aduração do processamento
O Fornecedor está autorizado a usar os Subprocessadores conforme notificado pelo
Fornecedor à Sophos no momento da execução do Contrato ou do Adendo.

C. AUTORIDADE DE SUPERVISÃO COMPETENTE
Conforme estabelecido na Seção 3.4do Anexo 4 do Adendo.

ANEXO II - MEDIDAS TÉCNICAS E ORGANIZATIVAS, INCLUINDO MEDIDAS TÉCNICAS E
ORGANIZATIVAS PARA GARANTIR A SEGURANÇA DOS DADOS
Conforme estabelecido no Anexo 2 do Adendo.
ANEXO III – LISTA DE SUBPROCESSADORESNão aplicável (as partes concordaram com a opção 2 (Autorização Geral) em relação à
Cláusula 9 (a) dos SCCs).

SPHS2022Dec

21 de 21