.svg)
Adendo rápido de processamento de dados
Data de vigência: 22 de agosto de 2024
Resumindo: “Dados pessoais” significam dados ou informações que identificam ou se relacionam com você, ou que de outra forma atendem à definição abaixo.DPA“) complementa e faz parte do acordo entre a Brisk Labs Corp. (”Vivo“) e a Instituição Educacional ou (quando aplicável) um Professor em relação à transferência e processamento dos Dados Cobertos em conexão com a prestação do Serviço.
A menos que definido de outra forma neste DPA, os termos em maiúsculas usados, mas não definidos neste DPA, terão o significado estabelecido no Contrato. Os seguintes termos em maiúsculas usados neste DPA serão definidos da seguinte forma:
“Contrato“significa o acordo celebrado entre a Brisk e o Cliente incorporando os termos em https://www.briskteaching.com/terms ou conforme acordado de outra forma entre as partes.
“Leis de proteção de dados aplicáveis“significa todas as leis, regras, regulamentos e requisitos governamentais aplicáveis relacionados à privacidade, confidencialidade ou segurança dos Dados Pessoais, pois podem ser alterados ou atualizados de tempos em tempos, incluindo (sem limitação) o GDPR.
“Subprocessador autorizado“significa os subprocessadores listados no Anexo 4 e quaisquer outros subprocessadores indicados de acordo com o parágrafo 7.4.
“Objetivos do controlador“significa: (a) realizar pesquisas e desenvolvimento internos para desenvolver, testar, melhorar e alterar a funcionalidade dos produtos e serviços da Brisk; (b) criar conjuntos de dados anônimos para treinamento ou avaliação dos produtos e serviços da Brisk; e (c) administrar contas de clientes no Serviço e gerenciar o relacionamento da Brisk com o Cliente nos termos do Contrato, em cada caso conforme descrito mais detalhadamente no Anexo 1.
“Dados cobertos“significa Dados Pessoais que são: (a) fornecidos por ou em nome do Cliente à Brisk em conexão com a prestação do Serviço; ou (b) obtidos, desenvolvidos, produzidos ou processados de outra forma pela Brisk, ou seus agentes ou subcontratados, para fins de prestação do Serviço, em cada caso, conforme descrito mais detalhadamente no Anexo 1.
“Cliente“significa a Instituição Educacional ou um Professor que celebra o Contrato com a Brisk em relação ao Serviço.
“Titular dos dados“tem o significado que lhe é atribuído no GDPR.
“Data de vigência“significa a data em que a Brisk e o Cliente celebram o Contrato.
“GDPR“significa o Regulamento (UE) 2016/679 (o”GDPR DA UE“) ou, quando aplicável, o”GDPR DO REINO UNIDO“, conforme definido na seção 3 (10) da Lei de Proteção de Dados de 2018.
“Dados pessoais“tem o significado que lhe é atribuído no GDPR.
“Processando“tem o significado que lhe é atribuído no GDPR e”Processo“,”Processos“e”Processado“será interpretado em conformidade.
“Incidente de segurança“significa uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso não autorizado (incluindo acesso interno não autorizado) aos Dados Cobertos.
“Cláusulas contratuais padrão“ou”SCCs“significa as Cláusulas Contratuais Padrão anexadas à Decisão de Execução (UE) 2021/914 da Comissão e disponíveis em https://commission.europa.eu/publications/standard-contractual-clauses-international-transfers_en.
“Subprocessador“significa um processador acionado por outro processador para executar as instruções do controlador.
“Leis suíças de proteção de dados“significa a Lei Federal Suíça de Proteção de Dados de 25 de setembro de 2020 (”FADP“) e a Portaria Suíça de Proteção de Dados de 31 de agosto de 2022 (a”Portaria“) e qualquer versão nova ou revisada dessas leis que possa entrar em vigor de tempos em tempos.
Os termos”controlador“e”processador“têm os significados que lhes são atribuídos no GDPR.
Este DPA está incorporado e faz parte integrante do Contrato. Este DPA complementa e (em caso de contradições) substitui o Contrato com relação a qualquer processamento de dados cobertos.
As Partes reconhecem e concordam que:
- exceto conforme estabelecido no parágrafo 3.1, a Brisk processa os dados cobertos como processadora no desempenho de suas obrigações nos termos do Contrato e este DPA e o Cliente atuam como controladores; e
- A Brisk atua como controladora com relação ao processamento de dados cobertos para os fins do controlador, conforme identificado no Anexo 1.
Os detalhes do Processamento de Dados Pessoais nos termos do Contrato e deste DPA (incluindo assunto, natureza e finalidade do Processamento, categorias de Dados Pessoais e Titulares dos Dados) estão descritos no Contrato e no Anexo 1 deste DPA.
Exceto em relação ao processamento de dados cobertos para fins do controlador:
- A Brisk processará somente os Dados Cobertos de acordo com as instruções fornecidas pelo Cliente e de acordo com as Leis de Proteção de Dados Aplicáveis; e
- o Contrato e este DPA constituirão as instruções à Brisk para o processamento de dados cobertos pela Brisk, e o Cliente poderá emitir instruções adicionais por escrito de acordo com este DPA.
Brisk vai:
- fornecer ao Cliente informações para permitir que o Cliente conduza e documente quaisquer avaliações de impacto na proteção de dados e consultas prévias com as autoridades de supervisão exigidas pelas Leis de Proteção de Dados Aplicáveis; e
- informe imediatamente o Cliente se, em sua opinião, uma instrução do Cliente violar as leis de proteção de dados aplicáveis.
O Cliente cumprirá suas obrigações de acordo com as Leis de Proteção de Dados Aplicáveis e garantirá que:
- quaisquer instruções à Brisk em relação ao processamento de dados cobertos estão em conformidade com as leis de proteção de dados aplicáveis;
- fornece essas informações aos titulares dos dados sobre o processamento de dados cobertos pela Brisk, conforme exigido pelas leis de proteção de dados aplicáveis;
- notifica imediatamente a Brisk sobre qualquer solicitação recebida de um Titular dos Dados para exercer seus direitos de acordo com as Leis de Proteção de Dados Aplicáveis.
Brisk deve:
- limitar o acesso aos Dados Cobertos ao pessoal que tenha uma necessidade comercial de ter acesso a esses Dados Cobertos; e
- garantir que esse pessoal esteja sujeito a obrigações pelo menos tão protetoras dos Dados Cobertos quanto os termos deste DPA e do Contrato, incluindo deveres de confidencialidade com relação a quaisquer Dados Cobertos aos quais tenham acesso.
A Brisk pode processar dados cobertos em qualquer lugar em que a Brisk ou seus subprocessadores mantenham instalações, sujeito ao restante deste parágrafo 7 e a quaisquer restrições às transferências futuras contidas nos SCCs.
O Cliente concede à Brisk autorização geral para contratar qualquer subprocessador autorizado para processar os dados cobertos.
Brisk deve:
- firmar um contrato por escrito com cada Subprocessador Autorizado impondo obrigações de proteção de dados que, em essência, não protegem menos os Dados Cobertos do que as obrigações da Brisk nos termos deste DPA; e
- permaneça responsável pela conformidade de cada Subprocessador Autorizado com as obrigações previstas neste DPA.
A Brisk fornecerá ao Cliente um aviso prévio de pelo menos catorze (14) dias sobre quaisquer alterações propostas aos Subprocessadores Autorizados. O Cliente notificará a Brisk se se opuser à alteração proposta aos Subprocessadores Autorizados (incluindo, quando aplicável, ao exercer seu direito de se opor nos termos da cláusula 9 (a) dos SCCs), fornecendo à Brisk uma notificação por escrito da objeção dentro de sete (7) dias após a Brisk ter notificado o Cliente sobre tal alteração proposta (um”Objeção“).
Caso o Cliente envie uma objeção, a Brisk e o Cliente trabalharão juntos de boa fé para encontrar uma solução mutuamente aceitável para resolver tal objeção. Se a Brisk e o Cliente não conseguirem chegar a uma resolução mutuamente aceitável dentro de um prazo razoável, que não excederá trinta (30) dias, a Brisk poderá rescindir a parte do Contrato relacionada aos Serviços afetados por tal alteração, fornecendo notificação por escrito ao Cliente.
A Brisk notificará o Cliente, sem demora injustificada, de qualquer solicitação recebida pela Brisk ou por qualquer subprocessador autorizado de um titular de dados para fazer valer seus direitos de acordo com as leis de proteção de dados aplicáveis em relação aos dados cobertos processados pela Brisk como processador ou subprocessador (a).Solicitação do titular dos dados“).
Exceto em relação ao processamento de dados cobertos pela Brisk para fins do controlador, entre a Brisk e o Cliente, o Cliente terá o exclusivo critério de responder à Solicitação do Titular dos Dados. A Brisk não responderá à Solicitação do Titular dos Dados sem o consentimento prévio do Cliente, exceto que a Brisk pode informar ao Titular dos Dados que sua solicitação foi encaminhada ao Cliente.
A Brisk fornecerá ao Cliente assistência razoável, conforme necessário, para que o Cliente cumpra sua obrigação, de acordo com as Leis de Proteção de Dados Aplicáveis, de responder às Solicitações do Titular dos Dados em relação aos Dados Cobertos.
A Brisk implementará e manterá medidas técnicas e organizacionais apropriadas de proteção e segurança de dados projetadas para garantir a segurança dos Dados Cobertos, incluindo, sem limitação, proteção contra processamento não autorizado ou ilegal e contra perda acidental, destruição ou dano de ou aos Dados Cobertos.
Ao avaliar o nível apropriado de segurança, a Brisk deve levar em consideração a natureza, o escopo, o contexto e a finalidade do Processamento, bem como os riscos apresentados pelo Processamento, em particular de destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso aos Dados Cobertos.
A Brisk implementará e manterá como padrão mínimo as medidas estabelecidas no Anexo 2.
O Cliente pode auditar a conformidade da Brisk com este DPA em relação ao processamento de dados cobertos. As Partes concordam que todas essas auditorias serão conduzidas:
- não mais do que anualmente, a menos que auditorias mais frequentes sejam exigidas por uma autoridade supervisora com jurisdição sobre o processamento de dados cobertos ou de outra forma de acordo com as leis de proteção de dados aplicáveis;
- mediante notificação razoável por escrito à Brisk;
- somente durante o horário comercial normal da Brisk; e
- de uma forma que não interrompa materialmente os negócios ou as operações da Brisk.
Com relação a quaisquer auditorias conduzidas de acordo com o parágrafo 10.3: algum texto
- o Cliente pode contratar um auditor terceirizado para conduzir a auditoria em seu nome, exceto que a Brisk pode razoavelmente se opor à contratação de um auditor terceirizado se esse auditor terceirizado for um concorrente da Brisk; e
- Não será necessário que a Brisk facilite tal auditoria, a menos e até que as Partes tenham concordado por escrito com o escopo e o calendário de tal auditoria.
O Cliente deve notificar imediatamente a Brisk sobre qualquer não conformidade descoberta durante uma auditoria.
Os resultados da auditoria devem ser informações confidenciais da Brisk.
A Brisk fornecerá ao Cliente, mediante solicitação, ou poderá fornecer ao Cliente em resposta a qualquer solicitação de auditoria enviada pelo Cliente à Brisk, uma das seguintes opções:
- certificações de conformidade de proteção de dados emitidas por um emissor de certificação comumente aceito que tenha sido auditado por um especialista em segurança de dados ou por uma empresa de auditoria certificada publicamente; ou
- outra documentação que evidencie razoavelmente a implementação das medidas técnicas e organizacionais de segurança de dados de acordo com os padrões do setor.
Se uma auditoria solicitada pelo Cliente for abordada nos documentos ou na certificação fornecidos pela Brisk de acordo com o parágrafo 10.7, e:
- a certificação ou documentação está datada dentro de doze (12) meses da solicitação de auditoria do Cliente; e
- A Brisk confirma que não há mudanças materiais conhecidas nos controles auditados,
O Cliente concorda em aceitar essa certificação ou documentação em vez de realizar uma auditoria física dos controles cobertos pela certificação ou documentação relevante.
A Brisk notificará o Cliente por escrito, sem demora injustificada, após tomar conhecimento de qualquer incidente de segurança.
A Brisk tomará medidas razoáveis para conter, investigar e mitigar qualquer incidente de segurança e enviará ao Cliente informações oportunas sobre o incidente de segurança, na medida em que a Brisk saiba ou conforme as informações se tornem disponíveis para a Brisk, incluindo, mas não se limitando a, a natureza do incidente de segurança, as medidas tomadas para mitigar ou conter o incidente de segurança e o status da investigação.
A Brisk fornecerá assistência razoável na investigação do Cliente (ou, quando aplicável, de seus Clientes) sobre quaisquer Incidentes de Segurança e quaisquer obrigações do Cliente (ou, quando aplicável, de seus Clientes) em relação ao Incidente de Segurança de acordo com as Leis de Proteção de Dados Aplicáveis, incluindo qualquer notificação aos Titulares dos Dados ou autoridades de supervisão.
A notificação ou resposta da Brisk a um Incidente de Segurança nos termos deste parágrafo 11 não deve ser interpretada como um reconhecimento pela Brisk de qualquer falha ou responsabilidade com relação ao Incidente de Segurança.
Este DPA começará na Data de Vigência e, não obstante qualquer rescisão do Contrato, permanecerá em vigor até, e expirará automaticamente, após a exclusão de todos os Dados Cobertos pela Brisk, conforme descrito neste DPA.
Brisk deve:
- se solicitado pelo Cliente (em nome de seus Clientes, conforme apropriado) dentro de trinta (30) dias após a expiração do Contrato (o”Período de retenção“), forneça uma cópia de todos os Dados Cobertos no formato comumente usado, conforme solicitado pelo Cliente, ou forneça uma funcionalidade de autoatendimento que permita ao Cliente baixar esses Dados Cobertos; e
- ao expirar o Período de Retenção, exclua todas as cópias dos Dados Cobertos Processados pela Brisk ou por quaisquer Subprocessadores Autorizados, exceto quaisquer Dados Cobertos que a Brisk deva reter para cumprir a lei aplicável, para prosseguir ou defender reivindicações legais ou para fins do Controlador.
As Cláusulas Contratuais Padrão devem, conforme estabelecido mais detalhadamente no Anexo 3, aplicar-se às transferências de Dados Cobertos do Cliente para a Brisk e fazer parte deste DPA.
As Partes concordam que a execução do Contrato terá o mesmo efeito que a assinatura dos SCCs.
Envie e-mails promocionais de acordo com as preferências do administrador da conta.
Identifique maneiras pelas quais a Brisk pode melhorar o Serviço e corrigir erros no Serviço.
Fornecimento de comunicações relacionadas ao serviço de acordo com as preferências do titular dos dados.
Prestação de suporte técnico em relação ao Serviço.
Até o início de:
- rescisão do Contrato; e
- encerramento da conta relevante no Serviço mantida pelo titular dos dados, a pedido do controlador ou após 18 meses de inatividade.
Nível da conta, ou seja, se o Professor Independente usa uma conta premium ou gratuita no Serviço.
Perguntas, comentários e outras correspondências enviado em relação ao Serviço.
Assuntos ensinados e grupos ou séries de anos estudantis.
Conteúdo e materiais criado por meio do Serviço, incluindo as alterações feitas no conteúdo gerado automaticamente por meio do Serviço.
Sites visitado em relação ao qual o Serviço é ativado.
Feedback em relação ao conteúdo gerado por meio do Serviço.
O características e funcionalidades usado no Serviço.
Informando o desenvolvimento e a melhoria do produto.
Processamento de pagamentos de assinaturas.
Fornecimento de comunicações relacionadas ao serviço de acordo com as preferências do titular dos dados.
Prestação de suporte técnico em relação ao Serviço.
Distribuição de e-mails promocionais de acordo com as preferências do titular dos dados.
Informando o desenvolvimento e a melhoria do produto.
Até o início de:
- rescisão do Contrato; e
- encerramento da conta relevante no Serviço mantida pelo titular dos dados, a pedido do controlador ou após 18 meses de inatividade.
Interação com materiais gerados por meio do Serviço.
Feedback sobre o trabalho enviado e revisado por meio do Serviço.
Interação com chatbots educacionais no Serviço.
A autoridade supervisora competente é o Comissário Irlandês de Proteção de Dados.
Introdução
A Brisk emprega uma combinação de políticas, procedimentos, diretrizes e controles técnicos e físicos para proteger os dados pessoais que processa contra perda acidental e acesso, divulgação ou destruição não autorizados.
Governança e políticas
A Brisk atribui ao pessoal a responsabilidade pela determinação, revisão e implementação de políticas e medidas de segurança.
Vivo:
- documentou as medidas de segurança que implementou em uma política de segurança e/ou em outras diretrizes e documentos relevantes;
- revisa suas medidas e políticas de segurança regularmente para garantir que continuem sendo apropriadas para os dados que estão sendo protegidos.
O Brisk estabelece e segue configurações seguras para sistemas e software e garante que as medidas de segurança sejam consideradas durante o início do projeto e o desenvolvimento de novos sistemas de TI.
Resposta à violação
A Brisk tem um plano de resposta a violações que foi desenvolvido para lidar com eventos de violação de dados. O plano é testado e atualizado regularmente.
Defesas contra intrusão, antivírus e antimalware
Os sistemas de TI da Brisk usados para processar dados pessoais têm o software de segurança de dados apropriado instalado, incluindo sistemas de firewall, antivírus, antimalware e detecção de intrusão padrão do setor.
O Brisk coleta, mantém e analisa registros de eventos para identificar atividades suspeitas.
Controles de acesso
O Brisk limita o acesso aos dados pessoais implementando controles de acesso apropriados, incluindo:
- limitar os privilégios de acesso administrativo e o uso de contas administrativas;
- alterar todas as senhas padrão antes de implantar sistemas operacionais, ativos ou aplicativos;
- exigir autenticação e autorização para obter acesso aos sistemas de TI (ou seja, exigir que os usuários insiram um ID de usuário e uma senha antes de poderem acessar os sistemas de TI);
- medidas para garantir o menor privilégio de acesso aos sistemas de TI;
- procedimentos adequados para controlar a alocação e revogação dos direitos de acesso a dados pessoais. Por exemplo, implementar procedimentos apropriados para revogar o acesso dos funcionários aos sistemas de TI quando eles deixam o emprego ou mudam de função;
- uso de autenticação multifatorial para acessar dados nos sistemas da Brisk;
- tempo limite automático e bloqueio dos terminais do usuário se deixados inativos;
- o acesso ao sistema de TI é bloqueado após várias tentativas fracassadas de inserir detalhes corretos de autenticação e/ou autorização;
- monitorar e registrar o acesso aos sistemas de TI;
- alterações de monitoramento e registro de dados ou arquivos em sistemas de TI.
Disponibilidade e backup de dados pessoais
A Brisk tem um plano documentado de recuperação de desastres que garante que os principais sistemas e dados possam ser restaurados em tempo hábil no caso de um incidente físico ou técnico. O plano é testado e atualizado regularmente.
O Brisk faz backup regular das informações nos sistemas de TI e mantém os backups em locais separados. Os backups de informações são testados regularmente.
Segmentação de dados pessoais
Vivo:
- separa e limita o acesso entre os componentes da rede e, quando apropriado, implementa medidas para fornecer processamento separado (armazenamento, alteração, exclusão, transmissão) de dados pessoais coletados e usados para finalidades diferentes;
- não usa dados ativos para testar seus sistemas.
Descarte de equipamentos de TI
Vivo:
- possui processos para remover com segurança todos os dados pessoais antes de descartar os sistemas de TI;
- usa tecnologia apropriada para eliminar os dados do equipamento.
Criptografia
O Brisk criptografa dados em repouso usando AES-256 e em trânsito usando TLS 1.2 ou superior.
As chaves de criptografia são armazenadas separadamente das informações criptografadas.
Transmissão ou transporte de dados pessoais
Os controles apropriados são implementados pela Brisk para proteger os dados pessoais durante a transmissão ou o trânsito, incluindo:
- criptografia em trânsito;
- registrando dados pessoais quando transmitidos eletronicamente.
Endurecimento do dispositivo
O Brisk garante que todas as máquinas virtuais sejam reforçadas de acordo com os benchmarks do Center for Internet Security (CIS).
Gerenciamento de ativos e software
A Brisk mantém um inventário dos ativos de TI e dos dados armazenados neles, junto com uma lista dos proprietários dos ativos de TI relevantes.
Vivo:
- documenta e implementa regras para o uso aceitável dos ativos de TI.
- requer autenticação em nível de rede e usa certificados de cliente para validar e autenticar sistemas;
- implanta ferramentas automatizadas de gerenciamento de patches e ferramentas de atualização de software para sistemas operacionais e software;
- monitora proativamente as vulnerabilidades do software e implementa prontamente quaisquer patches fora do ciclo;
- permite o uso somente das versões mais recentes de navegadores e clientes de e-mail totalmente compatíveis.
O Brisk armazena todas as chaves de API com segurança, incluindo as seguintes:
- O Brisk armazena chaves de API diretamente em suas variáveis de ambiente;
- O Brisk não armazena chaves de API no lado do cliente;
- A Brisk não publica credenciais de chave de API em repositórios de código on-line (privados ou não); e
- O Brisk usa ferramentas de gerenciamento de chaves de API para recuperar e gerenciar credenciais para grandes projetos de desenvolvimento.
Treinamento e conscientização da equipe
Os acordos da Brisk com funcionários e prestadores de serviços e manuais de funcionários definem as responsabilidades de seu pessoal em relação à segurança da informação.
Brisk realiza:
- treinamento regular da equipe sobre questões de segurança e privacidade de dados relevantes para sua função profissional e garante que os novos iniciantes recebam treinamento adequado antes de iniciarem suas funções (como parte dos procedimentos de embarque);
- triagem apropriada e verificação de antecedentes de indivíduos que têm acesso a dados pessoais confidenciais.
A Brisk garante que as responsabilidades de segurança da informação que são aplicáveis imediatamente antes da rescisão ou mudança de emprego e aquelas que se aplicam após a rescisão/mudança de emprego sejam comunicadas e implementadas.
Os funcionários estão sujeitos a medidas disciplinares por violações das políticas e procedimentos da Brisk relacionados à privacidade e segurança de dados.
Seleção de prestadores de serviços e comissão de serviços
A Brisk avalia a capacidade dos provedores de serviços de atender aos requisitos de segurança antes de contratá-los.
A Brisk tem contratos por escrito com prestadores de serviços que exigem que eles implementem medidas de segurança apropriadas para proteger os dados pessoais aos quais têm acesso e limitar o uso de dados pessoais de acordo com as instruções da Brisk.
Parte 2
Assistência com solicitações de direitos dos titulares de dados
A Brisk implementou políticas e medidas apropriadas para identificar e atender às solicitações de direitos dos titulares dos dados, incluindo:
- A Brisk mantém registros precisos para permitir a identificação rápida de todos os dados pessoais processados em nome do Cliente; e
- os backups de dados pessoais processados pela Brisk em nome do Cliente são substituídos regularmente e, em qualquer caso, a cada trinta (30) dias para garantir que as solicitações de exclusão e retificação sejam totalmente atendidas.
Com relação a quaisquer transferências mencionadas na cláusula 13, as Cláusulas Contratuais Padrão devem ser preenchidas da seguinte forma:
Módulo Dois (controlador para processador) ou, conforme apropriado, Módulo Três (processador para processador) dos SCCs se aplicarão ao processamento de dados cobertos pela Brisk.
A cláusula 7 das Cláusulas Contratuais Padrão (Cláusula de Encaixe) não se aplica.
Opção 2 da Cláusula 9 (a) (Autorização geral por escrito) será aplicável, e o período de tempo a ser especificado é determinado na cláusula 7.4 do DPA.
A opção na Cláusula 11 (a) das Cláusulas Contratuais Padrão (Órgão independente de resolução de disputas) não se aplica.
With regard to Clause 17 of the Standard Contractual Clauses (Governing law), the Parties agree that option 1 will apply and the governing law will be Irish law.
In Clause 18 of the Standard Contractual Clauses (Choice of forum and jurisdiction), the Parties submit themselves to the jurisdiction of the courts of Ireland.
For the Purpose of Annex I of the Standard Contractual Clauses, Schedule 1 of the DPA contains the specifications regarding the parties, the description of transfer, and the competent supervisory authority.
For the Purpose of Annex II of the Standard Contractual Clauses, Schedule 2 of the DPA contains the technical and organizational measures.
This paragraph 2 (UK Addendum) shall apply to any transfer of Covered Data from the Customer (as data exporter) to Brisk (as data importer), to the extent that:
- the UK Data Protection Laws apply to the Customer when making that transfer; or
- the transfer is an "onward transfer" as defined in the Approved Addendum.
As used in this paragraph 2:
"Approved Addendum" means the template addendum, version B.1.0 issued by the UK Information Commissioner under S119A(1) Data Protection Act 2018 and laid before the UK Parliament on 2 February 2022, as it may be revised according to Section 18 of the Approved Addendum.
"UK Data Protection Laws" means all laws relating to data protection, the processing of Personal Data, privacy and/or electronic communications in force from time to time in the UK, including the UK GDPR and the Data Protection Act 2018.
The Approved Addendum will form part of this DPA with respect to any transfers referred to in paragraph 2.1, and execution of this DPA shall have the same effect as signing the Approved Addendum.
The Approved Addendum shall be deemed completed as follows:some text
- the "Addendum EU SCCs" shall refer to the SCCs as they are incorporated into this Agreement in accordance with clause 13 and this Schedule 3;
- Table 1 of the Approved Addendum shall be completed with the details in paragraph A of Schedule 1;
- the "Appendix Information" shall refer to the information set out in Schedule 1 and Schedule 2
- for the purposes of Table 4 of the Approved Addendum, Brisk (as data importer) may end this DPA, to the extent the Approved Addendum applies, in accordance with Section 19 of the Approved Addendum; and
- Section 16 of the Approved Addendum does not apply.
This Swiss Addendum will apply to any Processing of Covered Data that is subject to Swiss Data Protection Laws.
Interpretation of this Addendum
- Where this Addendum uses terms that are defined in the Standard Contractual Clauses, those terms will have the same meaning as in the Standard Contractual Clauses. In addition, the following terms have the following meanings:
"Addendum" means this addendum to the Clauses;
"Clauses" means the Standard Contractual Clauses as incorporated into this DPA in accordance with paragraph 13 and as further specified in this Schedule 3; and
"FDPIC" means the Federal Data Protection and Information Commissioner.
- This Addendum shall be read and interpreted in a manner that is consistent with Swiss Data Protection Laws, and so that it fulfils the Parties' obligations under Article 16(2)(d) of the FADP.
- This Addendum will not be interpreted in a way that conflicts with rights and obligations provided for in Swiss Data Protection Laws.
- Any references to legislation (or specific provisions of legislation) means that legislation (or specific provision) as it may change over time. This includes where that legislation (or specific provision) has been consolidated, re-enacted and/or replaced after this Swiss Addendum has been entered into.
- In relation to any Processing of Personal Data subject to Swiss Data Protection Laws, this Addendum amends and supplements the Clauses to the extent necessary so they operate:some text
- for transfers made by the data exporter to the data importer, to the extent that Swiss Data Protection Laws apply to the data exporter’s Processing when making that transfer; and
- as standard data protection clauses approved, issued or recognised by the FDPIC for the purposes of Article 16(2)(d) of the FADP.
Hierarchy
In the event of a conflict or inconsistency between this Addendum and the provisions of the Clauses or other related agreements between the Parties, existing at the time this Addendum is agreed or entered into thereafter, the provisions which provide the most protection to Data Subjects will prevail.
Changes to the Clauses
- To the extent that the data exporter's Processing of Personal Data is exclusively subject to Swiss Data Protection Laws, or the transfer of Personal Data from a data exporter to a data importer under the Clauses is an "onward transfer" (as defined in the Clauses, as amended by the remainder of this paragraph 3.3(a)) the following amendments are made to the Clauses:
- References to the "Clauses" or the "SCCs" mean this Swiss Addendum as it amends the SCCs.
- Clause 6 Description of the transfer(s) is replaced with:
- "The details of the transfer(s), and in particular the categories of Personal Data that are transferred and the purpose(s) for which they are transferred, are those specified in Schedule 1 of this DPA where Swiss Data Protection Laws apply to the data exporter’s Processing when making that transfer."
- References to "Regulation (EU) 2016/679" or "that Regulation" or ""GDPR" are replaced by "Swiss Data Protection Laws" and references to specific Article(s) of "Regulation (EU) 2016/679" or "GDPR" are replaced with the equivalent Article or Section of Swiss Data Protection Laws extent applicable.
- References to Regulation (EU) 2018/1725 are removed.
- References to the "European Union", "Union", "EU" and "EU Member State" are all replaced with "Switzerland".
- Clause 13(a) and Part C of Annex I are not used; the "competent supervisory authority" is the FDPIC;
- Clause 17 is replaced to state: "These Clauses are governed by the laws of Switzerland".
- Clause 18 is replaced to state: "Any dispute arising from these Clauses relating to Swiss Data Protection Laws will be resolved by the courts of Switzerland. A Data Subject may also bring legal proceedings against the data exporter and/or data importer before the courts of Switzerland in which he/she has his/her habitual residence. The Parties agree to submit themselves to the jurisdiction of such courts."