Acordo de Tratamento de Dados

§1. Definições

Os termos utilizados neste Acordo têm os seguintes significados:

Harmony - a plataforma que permite aos usuários gravar, transcrever (a partir de formatos de áudio e vídeo), unificar e analisar conversas em diferentes plataformas de comunicação, disponível em heyharmony.com.

Grupo Harmony - a Harmony Global Inc., sociedade constituída sob as leis do Estado de Delaware, com sede em 8 The Green, Ste R, Dover, Delaware 19901, Estados Unidos (“Harmony Global”); a Harmony Labs Limited, sociedade de responsabilidade limitada por ações constituída sob as leis da Irlanda, com sede em 22 Northumberland Road, Ballsbridge, Dublin 4, D04 ED73, Irlanda, registrada no Companies Registration Office sob o número 811689 (“Harmony Labs”); e a Harmony Brasil Ltda., sociedade empresária limitada constituída sob as leis do Brasil, com sede na Rua Iapó nº 62, Alphaville Graciosa, Pinhais/PR, CEP 83327-075, Brasil, inscrita no CNPJ sob o nº 64.767.289/0001-51 (“Harmony Brasil”), juntamente com suas respectivas afiliadas.

Entidade Contratante Harmony - o membro do Grupo Harmony identificado como entidade contratante no Pedido, que é a Operadora nos termos deste Acordo.

Cláusulas Contratuais Padrão da UE - as cláusulas contratuais-tipo adotadas pela Comissão Europeia na Decisão de Execução (UE) 2021/914, de 4 de junho de 2021.

LGPD - a Lei Federal nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), conforme alterada.

Cláusulas Contratuais Padrão da ANPD - as cláusulas-padrão contratuais aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD) na Resolução CD/ANPD nº 19, de 23 de agosto de 2024.

Transferência Intragrupo - a transferência de dados pessoais entre membros do Grupo Harmony, incluindo a transferência da Harmony Labs ou da Harmony Brasil para a Harmony Global para fins de hospedagem e operação da infraestrutura na qual a Harmony é executada.

GDPR - o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral sobre a Proteção de Dados), complementado pela legislação nacional de execução aplicável, incluindo o Irish Data Protection Act 2018.

Legislação de Proteção de Dados Aplicável - o GDPR e qualquer outra legislação de proteção de dados ou de privacidade aplicável às atividades das Partes nos termos deste Acordo, incluindo, quando pertinente, o California Consumer Privacy Act, conforme alterado pelo California Privacy Rights Act (“CCPA”), e a LGPD.

Controlador, Operador, Suboperador, Titular de Dados, Dados Pessoais, Tratamento, Incidente de Segurança com Dados Pessoais e Autoridade Supervisora - têm os significados atribuídos a esses termos no GDPR.

Acordo - este Acordo de Tratamento de Dados, incluindo seus Anexos e Apêndices.

Pedido - qualquer pedido celebrado pelas Partes que incorpore os Termos de Uso e este Acordo e identifique a Entidade Contratante Harmony que é a Operadora nos termos deste Acordo.

Termos de Uso - os Termos de Uso da Harmony disponíveis em heyharmony.com/terms, que regem a relação entre o Controlador e a Operadora.

Categorias Especiais de Dados Pessoais - dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas ou a filiação sindical, bem como dados genéticos, dados biométricos tratados para identificar uma pessoa natural de forma inequívoca, dados relativos à saúde e dados relativos à vida sexual ou à orientação sexual de uma pessoa natural, conforme definidos no artigo 9(1) do GDPR.

Apêndice de Transferência Internacional - o apêndice que estabelece as salvaguardas adotadas para transferências de dados pessoais a países terceiros, incluindo transferências realizadas com base em decisão de adequação da Comissão Europeia nos termos do artigo 45 do GDPR, com base nas Cláusulas Contratuais Padrão da UE nos termos do artigo 46 do GDPR e com base nas Cláusulas Contratuais Padrão da ANPD, e que estabelece as salvaguardas aplicáveis às Transferências Intragrupo, anexado a este Acordo como Apêndice 1.

§2. Objeto

Nos termos deste Acordo, o Controlador contrata a Operadora, em conformidade com o artigo 28 do GDPR, para tratar dados pessoais em seu nome, na extensão prevista no §3.

§3. Escopo do tratamento

3.1. O objeto do tratamento nos termos deste Acordo são quaisquer dados pessoais que a Operadora trate em nome do Controlador em conexão com a execução dos Termos de Uso, sendo o Controlador o controlador desses dados (ou, quando aplicável, um operador atuando em nome de um controlador terceiro), nos termos do GDPR.

3.2. Os dados referidos no §3.1 incluem, em especial, dados pessoais de empregados e colaboradores do Controlador, de pessoas autorizadas pelo Controlador a utilizar a Harmony e de clientes finais, entendidos como quaisquer pessoas que contatem ou sejam contatadas pelo Controlador por meio dos serviços, ou cujos dados pessoais sejam de outra forma tratados pelo Controlador por meio dos serviços nos termos dos Termos de Uso, tais como:

(a) Dados de Identificação: nome, sobrenome, nome do meio ou patronímico, forma de tratamento;

(b) Dados de Contato: endereço de e-mail, número de telefone;

(c) Dados Financeiros: informações sobre transações financeiras, como dados de conta bancária, informações de cartão de crédito e histórico de pagamentos;

(d) Gravações de voz (arquivos de áudio de conversas e conteúdos delas derivados, incluindo transcrições);

(e) Dados Técnicos: informações coletadas por meios automatizados, como endereços IP, informações do dispositivo, histórico de navegação e cookies;

(f) Dados Profissionais: cargo e informações sobre o empregador;

(g) Preferências Pessoais: preferências, interesses e características, como preferências de idioma e preferências de marketing; e

(h) outros dados decorrentes das especificidades dos serviços prestados pela Operadora, que o Controlador utiliza nos termos dos Termos de Uso.

3.3. A Operadora tratará todas as categorias de dados pessoais que o Controlador fornecer à Harmony. Como o acúmulo de dados pessoais nos servidores da Operadora ocorre automaticamente durante o uso do serviço, a Operadora não detém controle em tempo real sobre a forma como o Controlador categoriza tais dados pessoais.

3.4. O Controlador não deve submeter Categorias Especiais de Dados Pessoais à Operadora, inclusive dados relativos à saúde, salvo se o Pedido expressamente permitir a submissão de tais dados ou se as Partes acordarem de outro modo por escrito. Nada constando do Pedido, nenhuma Categoria Especial de Dados Pessoais poderá ser submetida, devendo as categorias listadas no §3.2 ser lidas em conformidade. Quando a submissão de Categorias Especiais de Dados Pessoais for expressamente permitida, o Pedido identificará as categorias em questão, o Controlador permanecerá responsável por estabelecer a base legal nos termos do artigo 9(2) do GDPR (ou do artigo 11 da LGPD, quando aplicável), e a Operadora aplicará as salvaguardas adicionais descritas no Anexo II.

3.5. Dados biométricos e inferência de emoções. Os Serviços tratam gravações de voz como dados de áudio para fins de transcrição, sumarização e processamento analítico do conteúdo conversacional.

(a) Os Serviços não tratam gravações de voz para extrair identificadores biométricos com a finalidade de identificar pessoas naturais de forma inequívoca, nos termos dos artigos 4(14) e 9 do GDPR.

(b) Os Serviços não inferem emoções ou intenções de pessoas naturais a partir de dados biométricos, nos termos do Regulamento (UE) 2024/1689. Quando os Serviços derivam sentimento, pontuação ou indicadores similares, fazem-no a partir do texto das transcrições e não de características vocais, acústicas, prosódicas ou outras características biométricas.

(c) Quando o Cliente necessitar de tratamento que constitua identificação biométrica ou reconhecimento de emoções, tal tratamento está fora do escopo dos Serviços e exige acordo escrito em separado entre as Partes.

(d) A Operadora não reduzirá materialmente a posição descrita em (a) e (b) durante a vigência. Qualquer alteração material será comunicada ao Controlador nos termos do §7, aplicando-se os direitos de objeção e rescisão previstos nos §§7.4 e 7.5.

§4. Finalidade, natureza e duração

4.1. O tratamento é realizado conforme instruções documentadas do Controlador, em linha com o art. 28 do GDPR, para a finalidade de utilização dos Serviços pelo Controlador.

4.2. A celebração dos Termos de Uso e deste Acordo, somada à seleção dos serviços pelo Controlador, constitui a instrução documentada.

4.3. Os dados são tratados durante a vigência dos Termos de Uso. Após o término ou o vencimento, a Harmony disponibilizará os Dados do Cliente para exportação por 30 dias e excluirá definitivamente todos os Dados do Cliente em até 90 dias, exceto quando a retenção for exigida pela lei aplicável.

4.4. Em até 90 dias contados do término ou de solicitação documentada de exclusão, a Operadora eliminará os dados pessoais de todas as mídias de armazenamento, programas e aplicações, inclusive cópias, ou os anonimizará irreversivelmente, salvo se o tratamento adicional for exigido por lei.

4.5. Mediante solicitação escrita, a Operadora confirmará por escrito a eliminação ou devolução de todos os dados pessoais, exceto quando a retenção for exigida por lei.

4.6. A Operadora disponibiliza opções de configuração nos Serviços, inclusive definições de retenção e a seleção de provedores de modelos de IA, por meio das quais o Controlador pode personalizar o tratamento dos Dados do Cliente no âmbito da operação padrão. O uso dessas opções pelo Controlador ou por Usuários autorizados constitui instrução documentada. Instruções individuais que exijam customização do serviço padrão somente vinculam na medida acordada por escrito em Pedido ou aditivo.

4.7. Durante a vigência dos Termos de Uso e até a exclusão nos termos do §4.4, o Controlador pode exportar Dados do Cliente a qualquer momento pelas funções de exportação disponibilizadas nos Serviços.

§5. Direitos e obrigações

5.1. O Controlador compromete-se a que quaisquer dados pessoais tratados pela Operadora nos termos deste Acordo sejam tratados pelo Controlador: (a) com fundamento em uma das bases legais previstas no artigo 6 (e, para categorias especiais de dados pessoais, no artigo 9) do GDPR; ou (b) em nome de outro controlador, hipótese em que o Controlador declara à Operadora que os dados serão tratados por esse controlador com fundamento em uma das bases legais pertinentes do artigo 6 (e, quando aplicável, do artigo 9) do GDPR, e que o Controlador está autorizado a contratar a Operadora para o tratamento de tais dados pessoais.

5.2. A Operadora compromete-se a:

(a) cooperar com o Controlador, na medida do razoavelmente possível, por meio de medidas técnicas e organizacionais adequadas, no atendimento de solicitações de titulares no exercício dos direitos previstos no Capítulo III (artigos 12 a 23) do GDPR, incluindo a confirmação da existência de tratamento de dados pessoais, o acesso, a retificação, a eliminação, a limitação do tratamento, a portabilidade, a oposição ao tratamento e o direito de não ficar sujeito a decisão tomada exclusivamente com base em tratamento automatizado;

(b) auxiliar o Controlador no cumprimento de suas obrigações nos termos dos artigos 32 a 36 do GDPR, em especial a obrigação de garantir a segurança do tratamento, de notificar incidentes de segurança com dados pessoais à autoridade supervisora competente e aos titulares, e de realizar avaliações de impacto sobre a proteção de dados e consultas prévias quando exigido;

(c) ao término da prestação dos serviços de tratamento e conforme a decisão do Controlador, eliminar ou devolver ao Controlador todos os dados pessoais e eliminar todas as cópias existentes, salvo se disposições legais obrigatórias exigirem a conservação dos dados pessoais, hipótese em que se aplicará o §4.4 deste Acordo;

(d) disponibilizar ao Controlador todas as informações razoavelmente necessárias para demonstrar o cumprimento das obrigações da Operadora nos termos do GDPR e para permitir que o Controlador, ou auditor por ele autorizado, realize auditorias, incluindo inspeções, e para elas contribua, observados os §§5.3 e 5.4 abaixo;

(e) informar o Controlador, sem demora injustificada, caso, na opinião da Operadora, uma instrução emitida pelo Controlador viole o GDPR ou outras leis aplicáveis;

(f) assegurar que todos os suboperadores utilizados pela Operadora estejam vinculados às mesmas obrigações de proteção de dados a que a Operadora está sujeita nos termos deste Acordo;

(g) tratar os dados por meio dos suboperadores incluídos na lista mantida em security.heyharmony.com (a “Lista de Suboperadores”), e informar o Controlador de quaisquer alterações nos termos do §7; e

(h) não utilizar os dados pessoais tratados nos termos deste Acordo para treinar modelos de inteligência artificial ou de aprendizado de máquina, sejam modelos próprios da Operadora ou de terceiros, e manter compromissos contratuais com seus suboperadores de inteligência artificial que proíbam tal uso e exijam retenção zero de dados além da duração da solicitação de tratamento.

5.3. O direito de auditoria referido no §5.2(d) poderá ser exercido durante o horário comercial da Operadora (de segunda a sexta-feira, das 9h00 às 17h00, horário local, excluídos feriados), mediante aviso prévio de pelo menos uma semana e sem interferência injustificada nas operações da Operadora. Durante a auditoria, a Operadora fornecerá ao Controlador as informações necessárias para demonstrar a conformidade com o GDPR. As auditorias não poderão ser realizadas mais de uma vez por ano-calendário e não poderão exceder 3 dias úteis. Todos os custos associados às auditorias serão suportados pelo Controlador.

5.4. As limitações de frequência, duração e custo do §5.3 não se aplicam quando: (a) a auditoria decorrer de Incidente de Segurança com Dados Pessoais que afete os dados pessoais do Controlador; (b) a auditoria for exigida por Autoridade Supervisora ou pela Legislação de Proteção de Dados Aplicável, inclusive quando o Controlador for entidade financeira sujeita ao Regulamento (UE) 2022/2554 e o direito de auditoria dever estender-se à autoridade competente do Controlador; ou (c) a Operadora estiver em violação substancial deste Acordo. Nessas hipóteses, a auditoria poderá ser realizada mediante aviso razoável e às expensas da Operadora, e a Autoridade Supervisora ou a autoridade competente pertinente poderá dela participar ou conduzi-la.

5.5. Caso sejam identificadas deficiências durante uma auditoria, a Operadora deverá saná-las no prazo acordado pelas Partes, considerada a gravidade da deficiência.

5.6. A Operadora está autorizada a contratar suboperadores para o tratamento dos dados pessoais abrangidos por este Acordo, inclusive suboperadores localizados fora do Espaço Econômico Europeu, observados o §7 (suboperadores) e as salvaguardas de transferência internacional do §5.7. Quando a Operadora for a Harmony Labs ou a Harmony Brasil, a Harmony Global atua como suboperadora e fornece a infraestrutura de hospedagem e da plataforma na qual a Harmony opera.

5.7. Transferências internacionais. Os Dados do Cliente são armazenados nos Estados Unidos e, ressalvado o disposto no §5.10, ali tratados, podendo ser tratados por suboperadores em outras jurisdições para a prestação de serviços específicos, incluindo o processamento por modelos de IA. Os países em que os Dados do Cliente são armazenados, e os suboperadores envolvidos, são identificados na Lista de Suboperadores mantida em security.heyharmony.com. As transferências de dados pessoais para país terceiro não abrangido por decisão de adequação da Comissão Europeia são realizadas com base nas salvaguardas de transferência internacional estabelecidas no Apêndice de Transferência Internacional, anexado como Apêndice 1 a este Acordo, que é parte integrante deste Acordo e se aplica a tais transferências sem necessidade de qualquer ato adicional das Partes. Quando dados pessoais forem transferidos para país terceiro ou organização internacional que a Comissão Europeia tenha reconhecido como assegurando nível adequado de proteção nos termos do artigo 45 do GDPR, tais transferências são realizadas com base nessa decisão de adequação, sem necessidade de qualquer mecanismo de transferência adicional.

5.8. Alocação da transferência restrita. Não obstante o §5.7, quando a Operadora for a Harmony Labs e o Controlador estiver estabelecido no Espaço Econômico Europeu, a relação entre as Partes é uma relação intra-EEE: a prestação dos Serviços pela Operadora ao Controlador não constitui, por si só, transferência de dados pessoais para país terceiro, e não são exigidas cláusulas contratuais padrão nem representante nos termos do artigo 27 do GDPR nessa etapa. A transferência restrita ocorre, em vez disso, na etapa Intragrupo entre a Harmony Labs, como exportadora de dados, e a Harmony Global, como importadora de dados, que opera a infraestrutura na qual os Dados do Cliente são armazenados, e é regida pelas Cláusulas Contratuais Padrão da UE, conforme estabelecido em A1.6. Quando a Operadora for a Harmony Brasil, a Transferência Intragrupo correspondente para a Harmony Global é regida pelas Cláusulas Contratuais Padrão da ANPD, conforme estabelecido em A1.7. Quando a Operadora for a Harmony Global e o Controlador estiver estabelecido no Espaço Econômico Europeu, a transferência do Controlador para a Operadora constitui, ela própria, uma transferência restrita, regida pelas Cláusulas Contratuais Padrão da UE celebradas diretamente entre as Partes, aplicando-se A1.8.

5.9. O Controlador compromete-se, nos termos dos artigos 13 e 14 do GDPR, a informar aos titulares cujos dados o Controlador tratará por meio da Harmony as transferências internacionais realizadas nos termos deste Acordo.

5.10. Localização dos dados. Os Dados do Cliente são armazenados em infraestrutura operada pela Harmony Global nos Estados Unidos, independentemente de qual Entidade Contratante Harmony seja a Operadora. A Operadora não oferece atualmente escolha de região de infraestrutura, nem armazenamento de Dados do Cliente na União Europeia ou no Espaço Econômico Europeu. Determinados tratamentos ocorrem na União Europeia: a transcrição de voz para texto é realizada por suboperador localizado na França, e a camada do companion de inteligência artificial conversacional opera em infraestrutura localizada na União Europeia. Outros suboperadores poderão tratar Dados do Cliente em outras jurisdições para a prestação de serviços específicos, incluindo o processamento por modelos de IA. A lista atual de suboperadores, os países em que tratam Dados do Cliente e o mecanismo de transferência internacional aplicável a cada um são mantidos em security.heyharmony.com.

5.11. Registros de tratamento. A Operadora manterá registros de todas as atividades de tratamento realizadas em nome do Controlador, nos termos do artigo 30 do GDPR. Tais registros incluirão: (i) o nome e os dados de contato da Operadora e do Controlador; (ii) as categorias de tratamento realizadas em nome do Controlador; (iii) quando aplicável, as transferências de dados pessoais para país terceiro, incluindo a identificação do país destinatário e as salvaguardas adotadas; e (iv) uma descrição geral das medidas técnicas e organizacionais de segurança referidas no artigo 32 do GDPR.

5.12. Quando o Controlador ou seus Usuários autorizados selecionarem um modelo de IA ou provedor de modelos cujo tratamento ocorra fora do Espaço Econômico Europeu, essa seleção constitui instrução documentada do Controlador para o tratamento associado e para qualquer transferência internacional correlata. A Operadora assegurará que exista, para cada uma dessas transferências, mecanismo de transferência adequado nos termos do Capítulo V do GDPR, conforme identificado na lista de suboperadores em security.heyharmony.com.

5.13. O Controlador instrui a Operadora a atender solicitações de titulares relativas a (a) retificação de dados de conta ou de perfil e (b) desativação ou exclusão de conta de usuário e dos dados exclusivamente a ela associados, de forma independente e sem consulta prévia ao Controlador, quando a solicitação for apresentada diretamente à Operadora e a identidade do titular tiver sido verificada por meios adequados, como o endereço de e-mail associado à conta de usuário. Todas as demais solicitações de titulares são tratadas nos termos do §5.2(a).

5.14. O cumprimento das obrigações previstas neste Acordo e no artigo 28 do GDPR será, em regra, demonstrado mediante a apresentação de atestado ou relatório adequado e atualizado, emitido por organismo independente no âmbito de certificação ou auditoria de segurança da informação ou de proteção de dados. Os direitos de auditoria dos §§5.2(d), 5.3 e 5.4 permanecem inalterados; contudo, as inspeções serão realizadas com a devida consideração aos interesses legítimos da Operadora, sempre que possível prioritariamente por meio de informações escritas ou revisão remota, durante o horário comercial normal e sem interferência injustificada nas operações da Operadora, e qualquer terceiro nomeado pelo Controlador para realizar uma inspeção não poderá ser concorrente da Operadora e deverá vincular-se previamente, por escrito, a obrigação de confidencialidade.

5.15. Quando a assistência prestada pela Operadora nos termos do §5.2 exceder a assistência razoavelmente devida nos termos deste Acordo, em especial em conexão com avaliações de impacto sobre a proteção de dados, consultas prévias ou questões regulatórias ou de titulares de grande extensão atribuíveis a circunstâncias específicas do Controlador, as Partes acordarão previamente remuneração adicional adequada. A assistência decorrente de incidente de segurança com dados pessoais pelo qual a Operadora seja responsável nunca é cobrável.

§6. Incidentes de segurança com dados pessoais

6.1. A Operadora comunicará ao Controlador qualquer incidente de segurança com dados pessoais sem atraso indevido e, em qualquer caso, em prazo não superior a 72 horas. Esse prazo é o padrão e pode ser modificado por Pedido.

6.2. A comunicação incluirá a natureza do incidente, as categorias e os números aproximados de titulares e registros afetados, as prováveis consequências e as medidas aplicadas ou propostas.

6.3. A comunicação à autoridade supervisora e aos titulares permanece de responsabilidade do Controlador. A Operadora prestará assistência razoável para viabilizar o cumprimento nos prazos do GDPR e, quando aplicável a LGPD, do art. 48 da LGPD.

§7. Suboperadores

7.1. O Controlador concede autorização geral para a contratação de suboperadores. A lista é mantida em security.heyharmony.com. Quando a Operadora for a Harmony Labs ou a Harmony Brasil, a Harmony Global Inc. figura em tal lista como suboperadora, com suas localidades de tratamento e o mecanismo de transferência aplicável. Qualquer alteração da entidade do Grupo Harmony que preste hospedagem sujeita-se aos §§7.2 e 7.4.

7.2. A Operadora dará aviso por e-mail com pelo menos 30 dias de antecedência da contratação de novo suboperador.

7.3. A contratação de suboperador substituto sem aviso prévio somente será admitida quando necessária para manter a continuidade dos Serviços após falha, insolvência ou rescisão de suboperador existente. O aviso será dado em até cinco dias úteis, o substituto deverá oferecer condições de segurança equivalentes ou superiores, e os direitos de objeção correm a partir de tal aviso.

7.4. O Controlador pode objetar em até 30 dias contados do aviso, apresentando as razões. A ausência de objeção é considerada consentimento. O Controlador compromete-se a não objetar sem razões válidas.

7.5. Havendo objeção, as Partes atuarão de boa-fé por 30 dias. Não havendo solução, o Controlador poderá rescindir os Serviços afetados sem penalidade e receber reembolso proporcional das taxas pagas antecipadamente.

7.6. Mediante solicitação razoável, a Operadora confirmará que seus contratos com suboperadores contêm cláusulas de proteção de dados substancialmente equivalentes.

§8. Medidas técnicas e organizacionais

8.1. As pessoas que atuam sob a autoridade da Operadora e têm acesso a dados pessoais estão vinculadas a dever de confidencialidade.

8.2. A Operadora implementa as medidas exigidas pelo art. 32 do GDPR, conforme o Anexo II.

8.3. A Operadora mantém documentação das medidas implementadas.

8.4. A Operadora poderá alterar ou adaptar as medidas técnicas e organizacionais do Anexo II durante a vigência, desde que continuem a atender aos requisitos legais e o nível geral de proteção não seja reduzido.

§9. Troca mútua de informações

9.1. As Partes notificam-se mutuamente sobre incidentes suspeitos sem atraso indevido e cooperam de boa-fé nos termos do GDPR.

9.2. As Partes consultam-se sobre a necessidade e o conteúdo de comunicações à autoridade supervisora competente ou aos titulares.

9.3. As notificações são enviadas ao e-mail associado à conta do Cliente e para [email protected].

§10. Responsabilidade

10.1. A responsabilidade da Operadora sujeita-se à Cláusula 14 dos Termos de Uso, conforme modificada por Pedido.

10.2. As reclamações envolvendo violação da Legislação de Proteção de Dados Aplicável, divulgação não autorizada ou perda de dados pessoais, ou violação de direitos de titulares, sujeitam-se ao limite ampliado da Cláusula 14.2 dos Termos de Uso.

10.3. A Operadora permanece integralmente responsável pelos atos ou omissões de seus suboperadores, como se próprios fossem.

10.4. Nada limita a responsabilidade de qualquer das Partes perante titulares ou Autoridade Supervisora, nem qualquer responsabilidade que não possa ser limitada pela Legislação de Proteção de Dados Aplicável.

§11. Disposições finais e rescisão

11.1. Este Acordo é celebrado pelo prazo de vigência dos Termos de Uso e extingue-se automaticamente, independentemente de declarações adicionais, com a rescisão ou o término dos Termos de Uso.

11.2. Este Acordo entra em vigor na data de sua assinatura por ambas as Partes ou na data de aceitação dos Termos de Uso pelo Controlador, o que ocorrer primeiro.

11.3. Qualquer alteração, aditamento ou rescisão deste Acordo deverá ser feita, sob pena de nulidade, por escrito ou em forma documental. As Partes concordam em renegociar este Acordo de boa-fé no âmbito de qualquer renegociação dos Termos de Uso.

11.4. O Controlador poderá rescindir este Acordo com efeito imediato, sem aviso prévio, caso a Operadora deixe de sanar, dentro de prazo de cura razoável não inferior a 14 dias contados de notificação por escrito, as deficiências identificadas na auditoria referida no §5.3, ou qualquer tratamento de dados pessoais em violação deste Acordo ou da Legislação de Proteção de Dados Aplicável.

11.5. Caso a Operadora razoavelmente entenda, com base em fundamentos objetivos, que o Controlador está tratando dados pessoais confiados à Operadora em violação ao §5.1, em especial ao tratar tais dados sem a base legal exigida pelo artigo 6 (ou, para categorias especiais, pelo artigo 9) do GDPR, a Operadora notificará o Controlador por escrito, expondo esses fundamentos, e as Partes atuarão de boa-fé para resolver a questão no prazo de 15 dias contados dessa notificação. Durante esse período, a Operadora poderá suspender o tratamento afetado apenas na medida necessária para evitar violação iminente da Legislação de Proteção de Dados Aplicável. A Operadora somente poderá rescindir este Acordo se a questão permanecer não resolvida ao fim desse prazo, ou quando a cessação imediata do tratamento for exigida por lei ou por Autoridade Supervisora.

11.6. O Apêndice 1 (Apêndice de Transferência Internacional) e o Anexo II (Medidas Técnicas e Organizacionais) são parte integrante deste Acordo.

11.7. Em caso de conflito entre este Acordo e os Termos de Uso em matéria de proteção de dados, prevalecerá este Acordo. Em caso de conflito entre este Acordo e um Pedido celebrado pelas Partes, prevalecerá o Pedido, na medida em que trate expressamente da matéria conflitante.

11.8. Este Acordo é regido pela lei especificada no Pedido para a Entidade Contratante Harmony que é a Operadora. Na ausência de tal especificação, este Acordo é regido pelas leis da Irlanda, incluindo o GDPR conforme aplicável na Irlanda e o Irish Data Protection Act 2018. As Partes submetem-se à jurisdição exclusiva dos tribunais especificados no Pedido ou, na ausência de tal especificação, dos tribunais da Irlanda, para a resolução de qualquer controvérsia decorrente deste Acordo ou com ele relacionada. A lei aplicável e o foro deste Acordo não afetam a lei eleita nos termos da Cláusula 17 das Cláusulas Contratuais Padrão da UE nem o foro eleito nos termos da Cláusula 18(b), que em ambos os casos é a Irlanda, conforme estabelecido em A1.6.

11.9. Este Acordo poderá ser celebrado e armazenado em formato eletrônico nos servidores da Operadora e enviado em PDF ao endereço de e-mail informado pelo Controlador, ou assinado em duas vias, uma para cada Parte.

11.10. Este Acordo não pode ser rescindido separadamente dos Termos de Uso. O término ou o vencimento dos Termos de Uso implica o término deste Acordo, que, no entanto, permanece vigente até a conclusão da exclusão dos Dados do Cliente nos termos do §4.4.

Apêndice 1 — Apêndice de Transferência Internacional

A1.1. Escopo. Este Apêndice estabelece as salvaguardas adotadas para transferências de dados pessoais a países terceiros nos termos do §5.7 deste Acordo, seja a transferência realizada entre o Controlador e a Operadora, entre membros do Grupo Harmony, ou entre um membro do Grupo Harmony e um suboperador.

A1.2. Decisão de adequação. Quando as transferências de dados pessoais forem realizadas para país terceiro ou organização internacional que a Comissão Europeia tenha decidido assegurar nível adequado de proteção nos termos do artigo 45 do GDPR, tais transferências são realizadas com base nessa decisão de adequação, sem necessidade de qualquer mecanismo de transferência adicional.

A1.3. Cláusulas contratuais padrão. As transferências de dados pessoais para país terceiro não abrangido por decisão de adequação da Comissão Europeia, incluindo os Estados Unidos, são regidas: (a) pelas Cláusulas Contratuais Padrão da UE, celebradas entre o membro exportador do Grupo Harmony e o suboperador destinatário; (b) no caso de transferências para organizações nos Estados Unidos certificadas no EU-U.S. Data Privacy Framework, por esse framework; ou (c) quando um suboperador não oferecer as Cláusulas Contratuais Padrão da UE, pelas salvaguardas contratuais mais equivalentes oferecidas por esse suboperador, cabendo à Operadora confirmar que tais salvaguardas proporcionam nível de proteção essencialmente equivalente ao exigido pelo GDPR, juntamente com quaisquer medidas suplementares identificadas como necessárias em avaliação de impacto de transferência.

A1.4. Transparência quanto a suboperadores. A lista atual de suboperadores, suas localidades de tratamento e o mecanismo de transferência internacional aplicável a cada um são mantidos em security.heyharmony.com.

A1.5. Confirmação mediante solicitação. Mediante solicitação razoável e por escrito do Controlador, a Operadora confirmará o mecanismo de transferência internacional vigente para qualquer suboperador específico que trate dados pessoais do Controlador.

A1.6. Transferências intragrupo sob as Cláusulas Contratuais Padrão da UE. A Harmony Labs, como exportadora de dados, e a Harmony Global, como importadora de dados, celebraram as Cláusulas Contratuais Padrão da UE, Módulo Três (de operador para operador), relativamente aos dados pessoais tratados nos termos deste Acordo que sejam transferidos para os Estados Unidos, neles armazenados ou a partir deles acessíveis. Aplicam-se as seguintes opções: (a) aplica-se a cláusula de adesão opcional da Cláusula 7; (b) para os fins da Cláusula 9, aplica-se a Opção 2 (autorização geral por escrito), com o prazo de aviso previsto no §7.2 deste Acordo; (c) não se aplica a redação opcional da Cláusula 11(a) relativa a organismo independente de resolução de litígios; (d) para os fins da Cláusula 17, as cláusulas são regidas pela lei da Irlanda; (e) para os fins da Cláusula 18(b), qualquer litígio decorrente das cláusulas será dirimido perante os tribunais da Irlanda; e (f) o Anexo I é preenchido pelos §§3 e 4 deste Acordo, o Anexo II pelo Anexo II deste Acordo e o Anexo III pela Lista de Suboperadores, sendo a Data Protection Commission irlandesa identificada como autoridade supervisora competente no Anexo I.C. O Controlador é terceiro beneficiário dessas cláusulas, nos termos da Cláusula 3. Mediante solicitação razoável e por escrito do Controlador, a Operadora disponibilizará ao Controlador cópia das cláusulas celebradas.

A1.7. Transferências intragrupo a partir do Brasil. A Harmony Brasil, como exportadora de dados, e a Harmony Global, como importadora de dados, celebraram as Cláusulas Contratuais Padrão da ANPD relativamente aos dados pessoais sujeitos à LGPD que sejam transferidos para os Estados Unidos, neles armazenados ou a partir deles acessíveis. A Harmony Global é identificada na Lista de Suboperadores como destinatária de tais transferências, juntamente com o mecanismo de transferência aplicável, e as obrigações de divulgação e notificação do §7 e de A1.4 aplicam-se a essa etapa nos mesmos termos aplicáveis a qualquer outro suboperador.

A1.8. Representante na União. Quando a Operadora for a Harmony Labs, a Operadora está estabelecida na União e não é exigido representante nos termos do artigo 27 do GDPR. Quando a Harmony Global contratar diretamente com Controlador estabelecido no Espaço Econômico Europeu e o tratamento estiver abrangido pelo artigo 3(2) do GDPR, a Harmony Global designará representante na União nos termos do artigo 27 do GDPR e identificará esse representante no Pedido e em security.heyharmony.com.

A1.9. Reino Unido. Para transferências de dados pessoais sujeitas ao UK GDPR, o International Data Transfer Addendum às Cláusulas Contratuais Padrão da UE, emitido pelo Information Commissioner nos termos da seção 119A do Data Protection Act 2018, aplica-se às Cláusulas Contratuais Padrão da UE referidas em A1.3 e A1.6. As Tabelas 1 a 3 desse Addendum são preenchidas por referência aos §§3 e 4 e ao Anexo II deste Acordo e à Lista de Suboperadores e, para os fins da Tabela 4, nenhuma das Partes poderá encerrar o Addendum na forma prevista na Seção 19 do Addendum. As referências ao GDPR nas Cláusulas devem ser lidas como referências ao UK GDPR, a autoridade supervisora competente é o Information Commissioner, e a lei aplicável e o foro são os da Inglaterra e do País de Gales.

A1.10. Suíça. Para transferências de dados pessoais sujeitas à Lei Federal Suíça de Proteção de Dados, as Cláusulas Contratuais Padrão da UE referidas em A1.3 e A1.6 aplicam-se com as seguintes alterações: as referências ao GDPR devem ser lidas como referências à Lei Federal Suíça de Proteção de Dados; a autoridade supervisora competente é o Comissário Federal de Proteção de Dados e Informação (FDPIC); o termo “Estado-Membro” não será interpretado de forma a impedir que titulares na Suíça exerçam seus direitos em seu local de residência habitual; e, até que a lei revisada se aplique a pessoas jurídicas, as Cláusulas protegem também os dados pessoais de pessoas jurídicas.

Anexo II — Medidas Técnicas e Organizacionais

AII.1. A Operadora implementa as medidas técnicas e organizacionais de segurança exigidas pelo artigo 32 do GDPR, adequadas aos riscos envolvidos no tratamento.

AII.2. A descrição vigente das medidas técnicas e organizacionais da Operadora, incluindo medidas relativas a: (a) pseudonimização e criptografia de dados pessoais; (b) garantia da confidencialidade, integridade, disponibilidade e resiliência dos sistemas de tratamento; (c) restauração tempestiva da disponibilidade e do acesso aos dados pessoais em caso de incidente; (d) testes, apreciação e avaliação periódicos da eficácia de tais medidas; (e) controles de acesso, registro e monitoramento; e (f) treinamento de pessoal e obrigações de confidencialidade, é mantida em security.heyharmony.com e integra este Anexo II.

AII.3. A Operadora não reduzirá materialmente as medidas de segurança descritas em security.heyharmony.com durante a vigência deste Acordo. Alterações materiais serão comunicadas ao Controlador nos termos do §7.

AII.4. Quando o Pedido expressamente permitir a submissão de Categorias Especiais de Dados Pessoais nos termos do §3.4, a Operadora aplicará as seguintes salvaguardas adicionais: restrição do acesso a essas categorias a pessoal nominalmente designado, com base em necessidade de conhecimento documentada; registro de todo acesso a tais dados e de toda exportação deles; e criptografia em repouso com chaves distintas daquelas utilizadas para os demais Dados do Cliente.

Anexo E — Brasil (LGPD)

E.1. Este Anexo aplica-se quando a LGPD reger o tratamento, inclusive quando a Entidade Contratante Harmony for a Harmony Brasil. Ele complementa e não substitui o corpo deste Acordo.

E.2. Papéis. A Harmony atua como operadora e o Controlador como controlador, nos termos do art. 5º da LGPD.

E.3. As transferências internacionais realizam-se com base no art. 33 da LGPD, mediante as Cláusulas Contratuais Padrão da ANPD conforme A1.7 ou outro mecanismo permitido. A Operadora informará ao Controlador, mediante solicitação, qual mecanismo se aplica.

E.4. Direitos dos titulares. A Operadora auxilia no atendimento de solicitações fundadas no art. 18 da LGPD, inclusive confirmação de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD, portabilidade, informação sobre as entidades com as quais os dados foram compartilhados, informação sobre a possibilidade de não fornecer consentimento e suas consequências, e revisão de decisões tomadas unicamente com base em tratamento automatizado.

E.5. Prazos de resposta. A Operadora prestará a assistência referida em E.4 em prazo que permita ao Controlador cumprir os prazos da LGPD. Salvo disposição diversa no Pedido, a Operadora responderá a pedido de assistência do Controlador em até cinco (5) dias úteis do recebimento e, em qualquer caso, em prazo que permita ao Controlador prestar a confirmação de tratamento e o acesso referidos no art. 19 da LGPD em até quinze (15) dias da solicitação do titular.

E.6. Incidentes de segurança. Aplica-se o prazo de notificação do §6.1 deste Acordo, inferior ao contemplado pelo art. 48 da LGPD, de modo que o Controlador possa cumprir suas obrigações perante a ANPD e os titulares nos termos do art. 48 e da Resolução CD/ANPD nº 15/2024.

E.7. Os registros mantidos nos termos do §5.11 atendem ao art. 37 da LGPD e são disponibilizados para qualquer relatório à ANPD.

E.8. Quando o Controlador contratar com a Harmony Brasil, aplica-se o Aditivo Local — Brasil e o §11.8 é lido em conformidade.

E.9. Encarregado. A Operadora designou encarregado pelo tratamento de dados pessoais, nos termos do art. 41 da LGPD. A identidade do encarregado e o canal de contato são publicados em security.heyharmony.com e na página de privacidade da Operadora. Comunicações de titulares e da ANPD relativas a dados pessoais tratados sob este Acordo podem ser dirigidas a esse canal. A designação de encarregado pela Operadora não dispensa o Controlador de eventual obrigação de designar o seu próprio encarregado.

E.10. Cooperação com a ANPD. A Operadora cooperará com a ANPD no exercício de suas competências. A Operadora informará o Controlador, sem atraso indevido, sobre qualquer solicitação, ordem ou comunicação recebida da ANPD relativa a dados pessoais tratados em nome do Controlador, salvo se proibida de fazê-lo por lei aplicável, e prestará ao Controlador assistência razoável para respondê-la.

Assinaturas

A Operadora (a Entidade Contratante Harmony identificada no Pedido)

Entidade (conforme identificada no Pedido):

☐ Harmony Global Inc. ☐ Harmony Labs Limited ☐ Harmony Brasil Ltda.

Assinatura: ______________________________

Nome: ____________________________

Cargo: ____________________________

Data: ____________________________

O Controlador (Cliente)

Assinatura: ______________________________

Nome: ____________________________

Cargo: ____________________________

Data: ____________________________