Anexo sobre o Tratamento de Dados

Última atualização: 15 de janeiro de 2026

Este Adendo sobre Tratamento de Dados (“DPA”) estabelece os termos e condições sob os quais a Ideaform, Inc. (“Ideaform”, “nós”, “nós”, “nosso”) vai processar dados pessoais em nome dos usuários do Portfolio, do Prints Marketplace e da Format Store (“você” ou “usuário da Ideaform”) que compram ou usam de alguma forma nossos serviços do Portfolio, do Prints Marketplace e da Format Store — os “Serviços da Ideaform”.

TODAS E QUAISQUER CONTROVÉRSIAS, RECLAMAÇÕES OU PEDIDOS DECORRENTES DESTE DPA DEVERÃO, NA MÁXIMA EXTENSÃO PERMITIDA POR LEI, ESTARÃO SUJEITAS ÀS CLÁUSULAS, CRITÉRIOS E REQUISITOS DE RESOLUÇÃO DE CONFLITOS E LIMITAÇÕES DE RESPONSABILIDADE ESTABELECIDOS NO IDEAFORM TERMOS DE SERVIÇO.

1. Definições

1.1. Legislação aplicável em matéria de proteção de dados refere-se a todas as leis, estatutos e regulamentos aplicáveis ao Tratamento de Dados Pessoais nos termos da Termos de serviço, incluindo (quando aplicável) a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA), o Regulamento Geral de Proteção de Dados da UE (“RGPD”), a Lei de Proteção de Dados do Reino Unido de 2018 e o GDPR do Reino Unido, a Lei Federal Suíça de Proteção de Dados (“FADP”) e as leis estaduais de privacidade dos EUA aplicáveis aos Serviços da Ideaform (incluindo as da Califórnia, Virgínia, Colorado, Connecticut, Utah e outras leis estaduais de privacidade substancialmente semelhantes à medida que entrarem em vigor), juntamente com os regulamentos de implementação.

1.2. Lei de Privacidade do Consumidor da Califórnia (“CCPA”) refere-se à Lei de Privacidade do Consumidor da Califórnia de 2018, conforme alterada pela Lei de Direitos de Privacidade e Fiscalização da Califórnia de 2020 e quaisquer outras alterações aplicáveis (codificada no § 1798.100 e seguintes do Código Civil da Califórnia), e inclui todos e quaisquer regulamentos de implementação.

1.3. Titular dos dados refere-se a uma pessoa física identificada ou identificável cujos Dados Pessoais estão sendo tratados pela Ideaform. 

1.4. Cláusulas Contratuais Padrão da União Europeia (UE) refere-se às cláusulas contratuais-padrão adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021, para a transferência de dados pessoais para países terceiros, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho.

1.5. Regulamento Geral sobre a Proteção de Dados (“RGPD”) significa o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas físicas no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE e toda a legislação dos Estados-Membros da União Europeia (UE) que o transpõe.

1.6. Dados Pessoais significa qualquer informação ou dado que, isoladamente ou em combinação com outras informações ou dados, possa ser usado para identificar razoavelmente um indivíduo, um domicílio ou um dispositivo específico, e que esteja sujeito a, ou de alguma forma receba proteção nos termos de, uma Lei Aplicável de Proteção de Dados.

1.7. Dados pessoais do usuário do Ideaform refere-se aos Dados Pessoais que a Ideaform trata em nome de um usuário da Ideaform.

1.8. Serviços da Ideaform terá o significado atribuído na Ideaform, a Termos de serviço.

1.9. Conteúdo do site do usuário da Ideaform terá o significado atribuído na Ideaform, a Termos de serviço.

1.10. Subcontratado significa qualquer organização terceirizada contratada pela Ideaform para tratar os Dados Pessoais dos Usuários da Ideaform em seu nome.

1.11. Adendo do Reino Unido (RU)/IDTA refere-se ao Adendo sobre Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia, emitido pelo Comissário de Informação do Reino Unido nos termos do art. 119A, § 1, da Lei de Proteção de Dados de 2018, conforme alterado ou substituído de tempos em tempos. IDTA refere-se ao Acordo de Transferência Internacional de Dados do Reino Unido, emitido pelo Comissário de Informação do Reino Unido, conforme alterado ou substituído de tempos em tempos.

Os termos “controlador”, “controlador de dados”, “processador”, “processador de dados”, “tratamento”, “processar”, “violação de dados” e “violação de dados pessoais” têm os significados previstos na Lei de Proteção de Dados Aplicável e podem aparecer com a primeira letra maiúscula neste DPA para indicar que são termos definidos. Qualquer outro termo que apareça com a primeira letra maiúscula, mas que não esteja definido aqui, terá o significado previsto na Ideaform Termos de serviço. 

2. Âmbito. Você reconhece que os Serviços da Ideaform foram criados e são oferecidos com o objetivo principal de permitir que você exiba, organize, imprima, venda, troque e compartilhe imagens digitais, vídeos e produtos relacionados, e não com o objetivo principal de armazenar, gerenciar ou processar Dados Pessoais.

3. Processando. Você reconhece expressamente que: (i) você é o Controlador dos Dados Pessoais incluídos no Conteúdo do Site do Usuário da Ideaform; (ii) por meio deste, você nomeia a Ideaform como Processadora para tratar os Dados Pessoais incluídos no Conteúdo do Site do Usuário da Ideaform; e (iii) a Ideaform processará os Dados Pessoais na qualidade de Subcontratada, na medida do necessário para cumprir suas obrigações nos termos deste DPA e estritamente de acordo com suas instruções, conforme documentado neste DPA, exceto quando exigido de outra forma por qualquer lei aplicável. O Usuário da Ideaform será responsável por cumprir todos os requisitos que se aplicam a ele nos termos da Legislação Aplicável de Proteção de Dados. O Usuário da Ideaform reconhece e concorda que será o único responsável pela precisão, qualidade e legalidade dos Dados Pessoais do Usuário da Ideaform, bem como pelo cumprimento de todos os requisitos necessários de transparência e legalidade previstos na Legislação Aplicável de Proteção de Dados para a coleta e o uso dos Dados Pessoais do Usuário da Ideaform, incluindo a obtenção de quaisquer consentimentos e autorizações necessários dos Titulares dos Dados. Para evitar dúvidas, o Usuário da Ideaform declara à Ideaform que possui autoridade legal e finalidade comercial adequada para fornecer à Ideaform todos e quaisquer Dados Pessoais do Usuário da Ideaform em conjunto com os Serviços da Ideaform e, quando exigido por lei, obteve o consentimento de todos os Titulares de Dados aplicáveis em relação ao Tratamento aqui descrito. Cada parte deve informar a outra, sem demora injustificada (e, em qualquer caso, no prazo de setenta e duas (72) horas), caso não consiga cumprir as responsabilidades estabelecidas neste DPA. O Usuário da Ideaform é o único responsável por analisar os Serviços da Ideaform, incluindo toda a documentação e recursos de segurança disponíveis, para determinar se eles atendem aos seus requisitos, necessidades comerciais e obrigações legais. 

3.1. Obrigações do processador. Conforme exigido pela Lei de Proteção de Dados aplicável, a Ideaform deve: (a) tratar os Dados Pessoais do Usuário da Ideaform apenas com base em instruções documentadas do próprio Usuário da Ideaform, inclusive no que diz respeito a transferências, a menos que seja obrigada a fazê-lo por lei; (b) garantir que as pessoas autorizadas a tratar os Dados Pessoais do Usuário da Ideaform estejam sujeitas a um dever de confidencialidade adequado; (c) implementar medidas técnicas e organizacionais adequadas que atendam aos requisitos da Seção 5 e do Anexo II; (d) auxiliar o usuário da Ideaform com medidas técnicas e organizacionais razoáveis em relação a solicitações dos titulares dos dados ou consultas de quaisquer autoridades governamentais, regulatórias ou de supervisão, em cada caso exclusivamente no que diz respeito ao tratamento dos dados pessoais do usuário da Ideaform e levando em conta as informações disponíveis para a Ideaform; (e) prestar assistência razoável nas avaliações de impacto sobre a proteção de dados; (f) conforme a escolha do Usuário da Ideaform, excluir ou devolver todos os Dados Pessoais do Usuário da Ideaform ao término dos Serviços e excluir as cópias existentes, a menos que a retenção seja exigida por lei ou pela política de retenção da Ideaform; (g) disponibilizar as informações necessárias para comprovar a conformidade e permitir e contribuir com auditorias, de acordo com a Seção 8; e (h) repassar obrigações equivalentes aos subprocessadores, conforme exigido por este DPA. 

3.2. Restrições de combinação e uso. A Ideaform não vai combinar nenhum Dado Pessoal do Usuário da Ideaform com informações que receba de outra fonte, desde que a Ideaform possa combinar esses dados conforme autorizado pela Lei de Proteção de Dados aplicável. A Ideaform não vai processar os Dados Pessoais dos Usuários da Ideaform para publicidade comportamental entre contextos, publicidade direcionada ou criação de perfis com o objetivo de tomar decisões que produzam efeitos jurídicos ou de importância semelhante sobre as pessoas, exceto quando expressamente permitido pela Lei de Proteção de Dados aplicável e exclusivamente para fins comerciais de prestação dos Serviços da Ideaform. Para evitar dúvidas, este DPA não se aplica a nenhum dado relacionado ao uso dos Serviços pelo Usuário da Ideaform, a menos que se trate de Dados Pessoais do Usuário da Ideaform (por exemplo, isso não se aplica a análises dos Serviços, registros de atividades, padrões de uso etc.). 

3.3. Conflito de instruções. Se a Ideaform considerar que uma instrução dada por um usuário da Ideaform viola a legislação aplicável em matéria de proteção de dados, a Ideaform informará imediatamente o usuário da Ideaform. 

4. Isenção de responsabilidade relativa à CCPA. Para os fins da CCPA, o Usuário da Ideaform será considerado uma “Empresa” e a Ideaform será considerada uma “Prestadora de Serviços”. Com relação a quaisquer Informações Pessoais fornecidas pelo Usuário da Ideaform à Ideaform nos termos deste DPA, a Ideaform reconhece e concorda que não irá (i) “vender” ou “compartilhar” as Informações Pessoais, (ii) reter, usar ou divulgar as Informações Pessoais para qualquer finalidade que não seja especificamente a prestação dos Serviços da Ideaform, nem (iii) reter, usar ou divulgar Informações Pessoais fora do âmbito da relação comercial direta com o Usuário da Ideaform. Sem limitar o exposto acima, cada parte reconhece e concorda que o fornecimento de Informações Pessoais pelo Usuário da Ideaform à Ideaform não constitui, e não é intenção de nenhuma das partes que tal fornecimento constitua, uma “Venda” de Informações Pessoais; e, caso uma contraprestação valiosa, monetária ou de outra natureza, esteja sendo fornecida pelo Usuário da Ideaform de acordo com o DPA, tal contraprestação, monetária ou de outra natureza, está sendo fornecida em troca dos Serviços da Ideaform prestados e não pelo fornecimento das Informações Pessoais. Apenas para os fins desta Seção, os termos “Empresa”, “Prestador de Serviços”, “Informações Pessoais”, “Venda”, “Vender” e “Compartilhar” terão o mesmo significado estabelecido na CCPA (Código Civil da Califórnia, § 1798.140). As limitações estabelecidas nesta Seção não devem ser interpretadas de forma a impedir que a Ideaform cumpra uma lei, estatuto, regulamento ou ordem vinculativa de um órgão governamental ou regulador aplicável.

4.1. Requisitos adicionais dos estados dos EUA. Quando os Dados Pessoais dos Usuários da Ideaform estiverem sujeitos a outras leis estaduais de privacidade dos EUA, a Ideaform atuará como subcontratada e deverá: (a) tratar os Dados Pessoais dos Usuários da Ideaform apenas de acordo com instruções documentadas (incluindo este DPA); (b) ajudar com a segurança e notificações de violação, de acordo com a Seção 9; (c) exigir que os subprocessadores, por meio de contrato por escrito, cumpram os requisitos desta Seção; (d) quando for razoavelmente necessário, fornecer as informações necessárias para comprovar a conformidade; (e) possibilitar e dar suporte à exclusão e devolução dos dados no momento da rescisão; e (f) proibir o tratamento para fins de publicidade direcionada, vendas ou criação de perfis com o objetivo de tomar decisões que produzam efeitos jurídicos ou de importância semelhante, exceto conforme permitido pela Lei de Proteção de Dados aplicável e por este DPA. 

5. Confidencialidade e segurança. A Ideaform vai manter a confidencialidade de todos os Dados Pessoais dos Usuários da Ideaform e garantir que as pessoas autorizadas a tratar esses dados tenham se comprometido a mantê-los em sigilo ou estejam sujeitas a uma obrigação legal adequada de confidencialidade.  A Ideaform vai implementar e manter medidas técnicas e organizacionais adequadas em seus próprios sistemas para cumprir a privacidade de dados, a fim de garantir um nível de proteção de dados adequado ao risco resultante do tratamento dos Dados Pessoais dos Usuários da Ideaform nos termos deste DPA, levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, bem como a gravidade e a probabilidade de ocorrência de riscos aos direitos e liberdades dos titulares de dados. Após o encerramento ou o vencimento da sua conta na Ideaform, a Ideaform deve excluir os Dados Pessoais dos Usuários da Ideaform que estiverem sob sua custódia e controle no prazo de noventa (90) dias, sujeito a quaisquer obrigações legais de retenção, e é sua responsabilidade recuperar quaisquer dados de que precise antes da exclusão, conforme permitido pela Lei de Proteção de Dados aplicável. 

6. Solicitações; Assistência. A Ideaform deve, na medida do permitido por lei, notificar imediatamente o Usuário da Ideaform caso receba uma solicitação de (i) uma autoridade governamental ou regulatória sobre o Tratamento de Dados Pessoais do Usuário da Ideaform (uma “Solicitação de Acesso Governamental”) ou (ii) um Titular de Dados que queira exercer um direito ou privilégio de proteção de dados (uma “Solicitação do Titular de Dados”), e a Ideaform vai, na medida do possível, tentar encaminhar o solicitante para o Usuário da Ideaform. Levando em conta a natureza do Tratamento, a Ideaform vai ajudar o Usuário da Ideaform com medidas técnicas e organizacionais adequadas, na medida do possível, para que ele cumpra a obrigação de responder a uma Solicitação de Acesso Governamental ou a uma Solicitação do Titular dos Dados. Além disso, na medida em que o Usuário da Ideaform, ao utilizar os Serviços da Ideaform, não tenha condições de atender à Solicitação de Acesso Governamental ou à Solicitação do Titular de Dados, a Ideaform deverá, mediante solicitação do Usuário da Ideaform, envidar esforços comercialmente razoáveis para auxiliá-lo na resposta a tais solicitações, na medida em que a Ideaform seja legalmente obrigada a fazê-lo. Você, como usuário da Ideaform, será responsável por quaisquer custos decorrentes da prestação dessa assistência descrita aqui pela Ideaform. Para que não haja dúvidas, você, como usuário da Ideaform, será totalmente responsável por responder de forma oportuna e adequada a uma Solicitação de Acesso do Governo ou a uma Solicitação do Titular dos Dados. 

7. Avaliações de impacto; Consultas. A pedido do Usuário da Ideaform, a Ideaform deverá (por conta e risco exclusivos do Usuário da Ideaform) oferecer ao Usuário da Ideaform cooperação e assistência comercialmente razoáveis (i) necessárias para cumprir a obrigação do Usuário da Ideaform, nos termos da Lei de Proteção de Dados Aplicável, de realizar uma avaliação de impacto sobre a proteção de dados relacionada ao uso dos Serviços da Ideaform pelo Usuário da Ideaform, na medida em que o Usuário da Ideaform não tenha acesso de outra forma às informações relevantes e na medida em que tais informações estejam disponíveis para a Ideaform, e (ii) no que diz respeito a uma consulta a uma autoridade governamental ou regulatória.

8. Auditoria. Por sua conta e risco, e desde que você cumpra este DPA, você pode (no máximo uma vez por ano) auditar o cumprimento da Ideaform às suas obrigações de proteção de dados, desde que avise a Ideaform por escrito com pelo menos trinta (30) dias de antecedência, e que esse aviso inclua uma proposta detalhada do plano de auditoria. O plano de auditoria proposto deve descrever o escopo, a duração e a data de início da auditoria. A Ideaform analisará o plano de auditoria proposto, compartilhará com você quaisquer dúvidas ou preocupações e trabalhará em cooperação com você para chegar a um acordo sobre um plano de auditoria final. A Ideaform contribuirá para essas auditorias fornecendo as informações e a assistência razoavelmente necessárias para a realização da auditoria, incluindo quaisquer registros relevantes das atividades de tratamento aplicáveis ao seu uso dos Serviços da Ideaform, caso esses registros não estejam disponíveis para você por meio dos Serviços da Ideaform. A auditoria deve ser realizada durante o horário comercial normal, não pode interferir de forma injustificada nas atividades comerciais da Ideaform e deve ser conduzida de acordo com o plano de auditoria final acordado e as políticas internas da Ideaform. Você vai fornecer à Ideaform todos os relatórios de auditoria gerados como parte de qualquer auditoria, a menos que a Lei de Proteção de Dados aplicável proíba isso. Você só pode usar os relatórios de auditoria com o objetivo de cumprir seus requisitos regulatórios de auditoria. Os relatórios de auditoria são informações confidenciais das partes nos termos deste DPA. Caso a assistência solicitada à Ideaform em relação a tal auditoria exija o uso de recursos diferentes ou adicionais aos exigidos da Ideaform nos termos deste DPA, você deverá pagar por esses recursos adicionais de acordo com as tarifas vigentes da Ideaform na época.

9. Evento de segurança. Ao confirmar uma violação de dados pessoais, a Ideaform deverá: (i) levando em conta a natureza do tratamento dos dados pessoais do usuário da Ideaform e as informações disponíveis para a Ideaform, notificar o usuário da Ideaform sobre a violação de dados pessoais dentro de setenta e duas horas (72), ou de acordo com o prazo estabelecido na legislação de proteção de dados aplicável, (ii) fornecer informações oportunas ao usuário da Ideaform relacionadas à violação de dados pessoais assim que ela for conhecida ou conforme razoavelmente solicitado pelo usuário da Ideaform, e (iii) tomar prontamente medidas razoáveis para conter, investigar e mitigar qualquer violação de dados pessoais. O Usuário da Ideaform reconhece que a Ideaform não avaliará o conteúdo dos Dados Pessoais do Usuário da Ideaform com o objetivo de identificar informações sujeitas a quaisquer requisitos legais específicos de notificação de violação de dados, e o Usuário da Ideaform é o único responsável por cumprir as leis de notificação de violação de dados aplicáveis a ele e por cumprir quaisquer obrigações de notificação a terceiros relacionadas a qualquer violação de Dados Pessoais. A menos que uma Lei de Proteção de Dados aplicável exija o contrário, as partes concordam que: (i) a Ideaform não notificará terceiros sobre uma violação de dados pessoais nem fará qualquer declaração pública a respeito, e (ii) a coordenar de boa-fé a elaboração do conteúdo de quaisquer declarações públicas relacionadas ou de quaisquer notificações exigidas para os titulares de dados afetados e/ou notificações às autoridades de supervisão competentes.  As obrigações de notificação da Ideaform aqui estabelecidas não devem ser interpretadas, de forma alguma, como uma admissão de culpa, negligência ou irregularidade.

10. Subprestadores de serviços. Na medida do necessário para que a Ideaform cumpra suas obrigações contratuais previstas neste DPA, você autoriza a Ideaform a contratar e continuar a utilizar os subprocessadores identificados no Anexo III (o “Lista de subcontratados”). A Ideaform vai avisar os Usuários da Ideaform envolvidos sobre qualquer mudança nessa lista, atualizando a Lista de Subprocessadores, e vai dar a eles a chance de se opor à contratação do novo Subprocessador com base em motivos razoáveis relacionados à proteção de Dados Pessoais, no prazo de trinta (30) dias após a atualização da Lista de Subprocessadores. Se o usuário da Ideaform notificar a Ideaform sobre tal objeção, as partes vão discutir as preocupações do usuário da Ideaform de boa-fé, com o objetivo de chegar a uma solução comercialmente razoável. Se não for possível chegar a tal resolução, a Ideaform, a seu exclusivo critério, ou não nomeará os novos subprocessadores, ou permitirá que o usuário da Ideaform suspenda ou rescinda os serviços afetados, de acordo com as cláusulas de rescisão deste DPA. A Ideaform imporá aos subprocessadores obrigações que não sejam menos protetoras do que as estabelecidas neste DPA e permanecerá totalmente responsável perante o usuário da Ideaform pelo cumprimento dessas obrigações por parte de cada subprocessador. 

11. Transferências internacionais de dados

11.1. Transferências de dados (Cláusulas Contratuais Padrão da UE). Na medida em que os Dados Pessoais dos Usuários da Ideaform sejam originários do Espaço Econômico Europeu (EEE), as partes devem cumprir as Cláusulas Contratuais Padrão da UE no que diz respeito à transferência e ao tratamento desses Dados Pessoais dos Usuários da Ideaform. Se as Cláusulas Contratuais Padrão da UE forem aplicáveis entre as partes de acordo com esta Seção 11.1 deste DPA, suas disposições serão consideradas incorporadas por referência a este DPA. Na medida exigida pelas regulamentações de proteção de dados aplicáveis, vocês vão celebrar e assinar as Cláusulas Contratuais Padrão da UE como um documento separado. Se vocês aplicarem e incorporarem as Cláusulas Contratuais Padrão da UE de acordo com esta Seção 11.1 deste DPA, então o seguinte se aplicará:

11.1.1 As Cláusulas Contratuais Padrão da UE serão regidas pelas cláusulas do Módulo Dois (Transferência do Controlador para o Processador) em todos os casos aplicáveis, e o Usuário da Ideaform e/ou as afiliadas do Usuário da Ideaform na UE serão o exportador de dados, enquanto a Ideaform será o importador de dados.

11.1.2. Cada parte reconhece e concorda que a Cláusula 7 (Opcional – Cláusula de Ajustamento) das Cláusulas Contratuais Padrão da UE deve ser considerada incorporada ao presente contrato e aplicável às partes e a terceiros.

11.1.3. Para os fins da Cláusula 9(a) (Uso de subprocessadores) das Cláusulas Contratuais Padrão da UE, as partes concordam que a Opção 2 (Autorização Geral por Escrito) se aplica a elas e deve ser cumprida de acordo com a Seção 10 e o Anexo III deste DPA.

11.1.4. Para os fins da Cláusula 11 (Recurso) das Cláusulas Contratuais Padrão da UE, as partes concordam que a redação opcional não será incorporada a elas e, portanto, não será aplicável às partes.

11.1.5. Para os fins da Cláusula 17 (Lei aplicável) das Cláusulas Contratuais Padrão da UE, as partes concordam que as Cláusulas Contratuais Padrão da UE serão regidas pela lei da Irlanda e optam pela “Opção 1” da Cláusula 17 para esse fim.

11.1.6. Para os fins da Cláusula 18 (Escolha do foro e da jurisdição) das Cláusulas Contratuais Padrão da UE, as partes concordam que qualquer litígio decorrente das Cláusulas Contratuais Padrão da UE será resolvido pelos tribunais da Irlanda.

11.1.7. O Anexo I das Cláusulas Contratuais Padrão da UE será considerado preenchido com as informações constantes do Anexo I deste DPA. 

11.1.8. O Anexo II das Cláusulas Contratuais Padrão da UE será considerado preenchido com as informações constantes do Anexo II deste DPA.

11.1.9. O Anexo III das Cláusulas Contratuais Padrão da UE será considerado preenchido com as informações estabelecidas no Anexo III deste DPA, e os subprocessadores substitutos deverão ser acordados de acordo com a Seção 10 deste DPA. A Ideaform não vai transferir os Dados Pessoais dos Usuários da Ideaform recebidos sob as Cláusulas Contratuais Padrão da UE (nem permitir que esses Dados Pessoais sejam transferidos) para um subprocessador fora do EEE, a menos que o subprocessador (i) esteja estabelecido em um país ao qual a Comissão Europeia tenha concedido o status de adequação, ou (ii) tenha obtido o consentimento prévio por escrito do usuário da Ideaform em relação a tal transferência e implemente e mantenha as medidas necessárias para garantir que a transferência esteja em conformidade com a Legislação Aplicável de Proteção de Dados, e tais medidas podem incluir (sem limitação) a obtenção, pelo subprocessador, de autorização para Regras Corporativas Vinculantes de acordo com a Lei de Proteção de Dados, ou a assinatura, entre o subprocessador e a Ideaform, das Cláusulas Contratuais Padrão da UE, Módulo 3 (De Processador para Processador).

11.1.10. Avaliações de risco de transferência. Quando necessário, a Ideaform deve documentar e disponibilizar uma avaliação de risco de transferência alinhada à Cláusula 14 das Cláusulas Contratuais Padrão da UE, mediante solicitação razoável, sujeita à confidencialidade. 

11.2. Transferências no Reino Unido. Na medida em que os Dados Pessoais dos Usuários da Ideaform tenham origem no Reino Unido, as partes se comprometem a aplicar o Adendo do Reino Unido às Cláusulas Contratuais Padrão da UE ou, quando for o caso, o IDTA à transferência e ao tratamento desses Dados Pessoais dos Usuários da Ideaform, e, por meio deste, incorporam o mecanismo de transferência aplicável do Reino Unido por referência a este DPA. Caso as partes não possam mais contar com o mecanismo de transferência do Reino Unido selecionado como um mecanismo adequado de transferência de dados, elas vão definir um mecanismo alternativo de transferência de dados para substituir o mecanismo então aplicável, à escolha do usuário da Ideaform, sem demora injustificada.  Se as partes aplicarem e incorporarem o Adendo do Reino Unido ou o IDTA de acordo com esta Seção 11.2 deste DPA, então o seguinte se aplicará:

11.2.1. De acordo com o mecanismo aplicável do Reino Unido, as partes concordam que a lei aplicável será a da Inglaterra e do País de Gales.

11.2.2. Para os fins das “Cláusulas comerciais adicionais” das Cláusulas Contratuais Padrão do Reino Unido, a cláusula opcional de “Indenização” é considerada incorporada a elas e se aplica às partes.

11.2.3. Os anexos 1 e 2 do mecanismo aplicável do Reino Unido serão considerados preenchidos com as informações estabelecidas, conforme o caso, na Seção 11.1 deste DPA e nos Anexos I a III deste DPA.

11.2.4. A Ideaform não vai transferir nenhum Dado Pessoal de Usuário da Ideaform recebido nos termos do Adendo do Reino Unido ou do IDTA (nem vai permitir que esses Dados Pessoais de Usuário da Ideaform sejam transferidos) para um Subprocessador fora do Reino Unido, a menos que o Subprocessador (i) esteja estabelecido em um país ao qual as autoridades do Reino Unido tenham concedido o status de adequação, ou (ii) tenha obtido o consentimento prévio por escrito do usuário da Ideaform em relação a essa transferência e implemente e mantenha as medidas necessárias para garantir que a transferência esteja em conformidade com a Legislação de Proteção de Dados Aplicável, e tais medidas podem incluir (sem limitação) a obtenção, pelo subprocessador, de autorização para Regras Corporativas Vinculantes de acordo com a Lei de Proteção de Dados, ou a assinatura, entre o subprocessador e a Ideaform, das Cláusulas Contratuais Padrão adotadas ou aprovadas pelo Secretário de Estado do Reino Unido ou pelo Comissário de Informação do Reino Unido (e aprovadas pelo Parlamento do Reino Unido).

11.3. Traslados na Suíça. Na medida em que os Dados Pessoais dos Usuários da Ideaform tenham origem na Suíça, as partes se comprometem a aplicar as disposições das Cláusulas Contratuais Padrão da UE, conforme estabelecido na Seção 11.1 deste DPA, à transferência e ao Tratamento desses Dados Pessoais dos Usuários da Ideaform.  Se as Cláusulas Contratuais Padrão da UE forem aplicáveis entre as partes de acordo com esta Seção 11.3, suas disposições serão consideradas incorporadas por referência a este DPA. Se as partes aplicarem e incorporarem as Cláusulas Contratuais Padrão da UE (conforme estabelecido na Seção 11.1 deste DPA) de acordo com esta Seção 11.3, então o seguinte se aplicará, quando exigido pela Lei Federal Suíça de Proteção de Dados (FADP):

11.3.1. As referências ao RGPD nas Cláusulas Contratuais Padrão da UE devem ser entendidas como referências à FADP, na medida em que as transferências de dados estejam sujeitas exclusivamente à FADP e não ao RGPD.

11.3.2. O termo “Estado-Membro” nas Cláusulas Contratuais Padrão da UE não deve ser interpretado de forma a impedir que os titulares de dados na Suíça exerçam seus direitos na Suíça, de acordo com a Cláusula 18(c) das Cláusulas Contratuais Padrão da UE, desde que a Suíça seja sua residência habitual.

11.3.3. Para os fins do Anexo I(C) das Cláusulas Contratuais Padrão da UE, (i) quando a transferência de dados estiver sujeita exclusivamente à FADP suíça (e não ao GDPR), a autoridade de supervisão é o Comissário Federal Suíço para a Proteção de Dados e Informação; e (ii) quando a transferência estiver sujeita tanto à FADP quanto ao GDPR, a autoridade de supervisão é o Comissário Federal Suíço de Proteção de Dados e Informação, na medida em que a transferência for regida pela FADP suíça, e a autoridade de supervisão indicada no Anexo I deste DPA, na medida em que a transferência for regida pelo GDPR.

11.4. Transferências no Canadá. A Ideaform não vai transferir nem dar acesso aos Dados Pessoais dos Usuários da Ideaform para fora do Canadá, a não ser que seja de acordo com as leis canadenses de privacidade aplicáveis, incluindo a PIPEDA e quaisquer leis provinciais substancialmente semelhantes. Para qualquer transferência ou acesso transfronteiriço, a Ideaform: (i) continua sendo responsável pelos Dados Pessoais e deve garantir um nível de proteção comparável ao exigido pelas leis canadenses de privacidade aplicáveis, por meio de acordos escritos vinculativos e medidas técnicas e organizacionais; (ii) deve informar ao usuário da Ideaform as jurisdições nas quais os Dados Pessoais do usuário da Ideaform; (iii) repassará a qualquer subprocessador dos Dados Pessoais do Usuário da Ideaform obrigações que não sejam menos protetoras do que as previstas neste DPA; (iv) notificará imediatamente o usuário da Ideaform caso receba uma solicitação juridicamente vinculativa de uma autoridade pública estrangeira para acessar os Dados Pessoais do usuário da Ideaform (a menos que seja proibido por lei) e contestará solicitações excessivamente amplas ou ilegais; e (v) quando exigido pela Legislação de Proteção de Dados Aplicável, vai ajudar o Usuário da Ideaform com quaisquer avaliações transfronteiriças necessárias e quaisquer notificações individuais. A Ideaform vai implementar medidas para impedir o acesso não autorizado durante o trânsito e o armazenamento e vai manter registros das transferências transfronteiriças. A autoridade supervisora será o Gabinete do Comissário de Privacidade do Canadá (OPC). 

11.5. Outras transferências. Na medida em que os Dados Pessoais dos Usuários da Ideaform tenham origem fora do EEE, da Suíça ou do Reino Unido, e as partes pretendam transferir e tratar esses Dados Pessoais dos Usuários da Ideaform além das fronteiras nacionais, as partes também se comprometem a aplicar, conforme o caso, as disposições das Cláusulas Contratuais Padrão da UE ou do Adendo do Reino Unido/IDTA a essa transferência e ao processamento, desde que as Cláusulas Contratuais Padrão da UE ou o Adendo do Reino Unido/IDTA sejam legalmente exigidos e suficientes para atender aos requisitos da Lei de Proteção de Dados aplicável para a transferência e o processamento de Dados Pessoais além das fronteiras nacionais.

11.6. Isenções de responsabilidade sobre vigilância. A Ideaform declara que manterá políticas e procedimentos razoavelmente concebidos para avaliar e, quando for o caso, documentar solicitações de acesso por parte do governo, bem como para contestar solicitações ilegais ou desproporcionais, na medida permitida por lei. Nada neste DPA exige informações que possam comprometer a segurança ou violar restrições relacionadas à aplicação da lei. 

Anexo I (Atividades de processamento de dados)

A. Lista das partes:

Nome (Exportador de dados)	O usuário do Ideaform
Endereço	Conforme estabelecido na conta do usuário do Ideaform
Nome, cargo e dados de contato da pessoa de contato	Conforme estabelecido na conta do usuário do Ideaform
Atividades relacionadas aos dados transferidos de acordo com essas Cláusulas	Consta a seguir (Seção B. Descrição da transferência)
Assinatura e data	Ao executar o Termos de serviço do qual este DPA faz parte integrante
Função (Controlador / Processador)	O usuário do Ideaform é o responsável pelo tratamento de dados

Nome (Importador de dados)	Ideaform, Inc.
Endereço	199 Bay St., Suíte 5300, Commerce Court West, Toronto, Ontário M5L 1B9 inform
Nome, cargo e dados de contato da pessoa de contato	A/: Privacidadeprivacy@format.com
Atividades relacionadas aos dados transferidos de acordo com essas Cláusulas	Consta a seguir (Seção B. Descrição da transferência)
Assinatura e data	Ao executar o Termos de serviço do qual este DPA faz parte integrante
Função (Controlador / Processador)	A Ideaform é uma empresa que trata dados

B. Descrição do tratamento e da transferência: A menos que seja especificado de outra forma em um termo de trabalho, formulário de pedido ou documento semelhante, a descrição dos Dados Pessoais transferidos é a seguinte:

Serviços da Ideaform	Acesso e uso da Plataforma Ideaform e dos serviços relacionados, de acordo com os Termos de Serviço.
Categorias de titulares de dados cujos Dados Pessoais estão sendo transferidos:	O Usuário da Ideaform é o único responsável por definir as categorias de Titulares de Dados cujos Dados Pessoais estão sujeitos ao Tratamento pela Ideaform, o que inclui as seguintes categorias de Titulares de Dados: funcionários do Usuário da Ideaform, prestadores de serviços e usuários finais dos Serviços da Ideaform.
Categorias de dados pessoais transferidos:	Quaisquer Informações Pessoais fornecidas à Ideaform por meio dos Serviços da Ideaform, seja pelo (ou a pedido do) Usuário da Ideaform ou pelos Titulares dos Dados.  As Informações Pessoais também podem ser fornecidas à Ideaform por fornecedores de produtos de terceiros, a fim de facilitar integrações entre os Serviços da Ideaform e esses produtos (por exemplo, o Google pode fornecer nome, endereço de e-mail e outras informações da conta dos Usuários se as integrações com o Google Fotos e o Google Agenda estiverem ativadas). As Informações Pessoais podem incluir, entre outras: nome; informações de contato (número de telefone, endereço, e-mail etc.); informações relacionadas aos Titulares de Dados que adquirem produtos do usuário da Ideaform (endereço, destinatário, detalhes de envio e entrega, informações do dispositivo etc.);Informações de pagamento usadas para facilitar compras pela conta do usuário da Ideaform; Informações gerais da conta dos Serviços (credenciais de acesso à conta, endereço IP (para auditorias de login), informações de pagamento e cobrança, etc.); e Informações da conta de produtos de terceiros.
Foram transferidos dados confidenciais? Se sim, quais são as restrições e medidas de proteção que serão adotadas:	Nenhum, a menos que o Usuário da Ideaform ou os Titulares de Dados do Usuário da Ideaform decidam, a seu critério exclusivo, fornecer Dados Sensíveis à Ideaform por meio dos Serviços. Consulte o Anexo II para saber quais medidas de proteção serão adotadas caso algum dado sensível seja processado pela Ideaform.
Frequência da transferência:	Contínuo
Natureza do tratamento:	A Ideaform vai tratar os Dados Pessoais com os seguintes objetivos: (i) fornecer os Serviços da Ideaform de acordo com os Termos de Serviço e este DPA (ou seja, oferecer ao Usuário da Ideaform uma plataforma online que permita que ele e seus Titulares de Dados (clientes, visitantes do site e outros usuários) naveguem, exibam, organizem, armazenem, vendam, troquem e compartilhem obras de arte); (ii) oferecer suporte técnico relacionado aos Serviços da Ideaform; (iii) possibilitar e dar suporte a integrações entre os Serviços e produtos de terceiros; (iv) permitir e facilitar o uso dos Serviços pelos Titulares de Dados do Usuário da Ideaform, incluindo, entre outras coisas, a realização de compras; e (v) melhorar nossos Serviços da Ideaform.
Finalidade da transferência e do tratamento:	Os dados pessoais estão sendo transferidos e tratados para permitir que a Ideaform preste os Serviços ao Usuário da Ideaform, de acordo com os Termos de Serviço e este DPA.
O prazo durante o qual os dados pessoais serão mantidos:	Durante toda a vigência dos Termos de Serviço e durante o período de rescisão e transição subsequente, conforme estabelecido nos Termos de Serviço.
Para transferências a subcontratados, o objeto, a natureza e a duração do tratamento:	O objeto, a natureza e a duração do Tratamento de Dados Pessoais pelos Subcontratados serão os estabelecidos na Seção 10 e no Anexo III deste DPA.
Autoridade supervisora competente	Conforme especificado na Seção 11.

* * * * * * * * *

Anexo II (Controles de segurança)

A Ideaform deve implementar e manter medidas técnicas e organizacionais adequadas para garantir um nível de proteção de dados adequado ao risco decorrente do Tratamento dos Dados Pessoais dos Usuários da Ideaform nos termos deste DPA, levando em conta o estado da técnica, os custos de implementação e a natureza, o escopo, o contexto e as finalidades do tratamento, bem como a gravidade e a probabilidade de ocorrência de riscos aos direitos e liberdades dos titulares dos dados, o que deve incluir o seguinte:

• Criptografia de dados pessoais.
• Medidas para garantir a confidencialidade, a integridade, a disponibilidade e a resiliência contínuas dos sistemas e serviços de tratamento de dados.
• Medidas para garantir a capacidade de restabelecer a disponibilidade e o acesso aos Dados Pessoais dos Usuários da Ideaform em tempo hábil, no caso de um incidente físico ou técnico.
• Procedimentos para testar, analisar e avaliar regularmente a eficácia das medidas técnicas e organizacionais, a fim de garantir a segurança do tratamento de dados.
• Medidas para a proteção dos dados durante o armazenamento.
• Medidas para garantir a segurança física dos locais onde os Dados Pessoais dos Usuários da Ideaform são armazenados.
• Medidas para garantir a configuração do sistema, incluindo a configuração padrão.
• Medidas para a governança e gestão interna de TI e segurança de TI.
• Medidas para certificação/garantia de processos e produtos.
• Medidas para garantir a retenção limitada de dados.
• Medidas para garantir a prestação de contas.
• Medidas para permitir a portabilidade de dados e garantir o apagamento.

As obrigações em relação aos subprocessadores estão definidas no DPA.

* * * * * * * * *

Anexo III (Lista de subcontratados)

A lista de subprocessadores da Ideaform está disponível em www.format.com/third-party-providers.