Cláusulas Padrão Contratuais Brasileiras Transferência Internacional de Dados

As Cláusulas Padrão Contratuais abaixo incorporam-se automaticamente a todos os contratos, termos de uso e termos  de serviços firmados entre as empresas integrantes do Grupo Arco Educação e fornecedores internacionais, sempre que houver transferência internacional de dados pessoais, ficando tais relações submetidas integralmente às disposições aqui estabelecidas.

Para fins destas Cláusulas, “Contrato” significa o instrumento celebrado entre o Exportador e o Importador de dados ao qual estas Cláusulas se integram.

Cláusulas-Padrão Contratuais para Transferência Internacional de Dados Pessoais

Seção I - Informações Gerais

CLÁUSULA 1. Identificação das Partes

1.1. Pelo presente instrumento contratual, o Exportador e o Importador (doravante, “Partes”), abaixo identificados, resolvem adotar as cláusulas-padrão contratuais (doravante Cláusulas) aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD), para reger a Transferência Internacional de Dados descrita na Cláusula 2, em conformidade com as disposições da Legislação Nacional.

Qualificações e Informações da Empresa que faz parte do conglomerado do  Grupo Arco Educação:

Nome: Nome de uma das empresas que faz parte do conglomerado do Grupo Arco Educação e que esteja especificado no Contrato entre as partes.

Qualificação: Conforme especificado no Contrato. 

Endereço Principal: Conforme especificado no Contrato.

Endereço de e-mail: Conforme especificado no Contrato.

Contato para o Titular: privacidade@arcoeducacao.com.br

(x) Exportador/Controlador

Qualificações e Informações do Fornecedor:

Nome: Fornecedor ou Parceiro, conforme aplicável e especificado no Contrato celebrado entre as partes.

Qualificação: Conforme especificado no Contrato.

Endereço Principal: Conforme especificado no Contrato.

Endereço de e-mail: Conforme especificado no Contrato.

Contato para o Titular – nome, cargo e informações de contato: Os detalhes de contato do Fornecedor ou Parceiro estão especificados no Contrato celebrado entre as partes.

( ) Importador/Operador OU

( ) Importador/Controlador

Conforme objeto do Contrato.

CLÁUSULA 2. Objeto

2.1. Estas Cláusulas se aplicam às Transferências Internacionais de Dados do Exportador para o Importador, conforme a descrição abaixo.

Principais finalidades da transferência: O Importador tratará os dados pessoais para fornecer e monitorar os Serviços conforme Contrato celebrado entre as partes, incluindo, mas não se limitando aos previstos na Política de Privacidade do Exportador: 

1. Hospedagem de dados, infraestrutura de TI e serviços em nuvem; 

2. Gestão de questionários, avaliações e interação/feedback de usuários; 

3. Coleta de métricas, campanhas digitais e análise de interação dos usuários;

4. Monitoramento de aplicações, logs, performance, segurança de código e identificação de vulnerabilidades;

5. Fornecimento de materiais educacionais digitais/físicos, avaliações socioemocionais e suporte acadêmico.

Categorias de dados pessoais transferidos: Os dados pessoais transferidos podem incluir quaisquer dados que estejam especificados e previstos na Política de Privacidade do Grupo Arco Educação. 

Período de armazenamento dos dados: durante toda a relação contratual entre Exportador e Importador, observado o prazo necessário para cumprimento de deveres contratuais, legais e regulatórios, ou conforme prazo definido em contrato previamente celebrado. 

CLÁUSULA 3. Transferências Posteriores

3.1. O Importador poderá realizar Transferência Posterior dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas nas hipóteses e conforme as condições descritas abaixo e desde que observadas as disposições da Cláusula 18.

Principais finalidades da transferência: Conforme necessário para a prestação dos Serviços especificados no Contrato celebrado entre Exportador e Importador.

Categorias de dados pessoais transferidos: Conforme especificado no Contrato celebrado entre Exportador e Importador.

Período de armazenamento dos dados: durante toda a relação contratual entre Exportador e Importador, observado o prazo necessário para cumprimento de deveres contratuais, legais e regulatórios, ou conforme prazo definido em contrato previamente celebrado.  

Há de se ressaltar que para os casos de transferência posteriores, o Importador terá exclusiva responsabilidade em verificar por meio de  due diligence ou procedimento equivalente que o(s) seu(s) Subcontratado(s) garante(m) um nível de segurança e proteção de Dados Pessoais, no mínimo, equivalente às legislações e diretrizes dos países envolvidos, e fornecer evidências dessa verificação ao Exportador, quando solicitado;

CLÁUSULA 4. Responsabilidades das Partes

4.1. Sem prejuízo do dever de assistência mútua e das obrigações gerais das Partes, caberá à Parte Designada abaixo, na condição de Controlador, a responsabilidade pelo cumprimento das seguintes obrigações previstas nestas Cláusulas:

a) Responsável por publicar o documento previsto na Cláusula 14;

(x) Exportador ( ) Importador

b) Responsável por atender às solicitações de titulares de que trata a CLÁUSULA 15:

(x) Exportador ( ) Importador

c) Responsável por realizar a comunicação de incidente de segurança prevista na Cláusula 16:

(x) Exportador ( ) Importador

4.2. Para os fins destas Cláusulas, verificado, posteriormente, que a Parte Designada na forma do item 4.1. atua como Operador, o Controlador permanecerá responsável:

a) pelo cumprimento das obrigações previstas nas Cláusulas 14, 15 e 16 e demais disposições estabelecidas na Legislação Nacional, especialmente em caso de omissão ou descumprimento das obrigações pela Parte Designada;

b) pelo atendimento às determinações da ANPD; e

c) pela garantia dos direitos dos Titulares e pela reparação dos danos causados, observado o disposto na Cláusula 17.

Seção II - Cláusulas Mandatórias

Esta seção contém Cláusulas que devem ser adotadas integralmente e sem qualquer alteração em seu texto a fim de assegurar a validade da transferência internacional de dados.

CLÁUSULA 5. Finalidade

5.1. Estas Cláusulas se apresentam como mecanismo viabilizador do fluxo internacional seguro de dados pessoais, estabelecem garantias mínimas e condições válidas para a realização de Transferência Internacional de Dados e visam garantir a adoção das salvaguardas adequadas para o cumprimento dos princípios, dos direitos do Titular e do regime de proteção de dados previstos na Legislação Nacional.

CLÁUSULA 6. Definições

6.1. Para os fins destas Cláusulas, serão consideradas as definições do art. 5° da Lei nº 13.709, de 14 de agosto de 2018, e do art. 3º do Regulamento de Transferência Internacional de Dados Pessoais, sem prejuízo de outros atos normativos expedidos pela ANPD. As Partes concordam, ainda, em considerar os termos e seus respectivos significados, conforme exposto a seguir:

a) Agentes de tratamento: o controlador e o operador;

b) ANPD: Autoridade Nacional de Proteção de Dados;

c) Cláusulas: as cláusulas-padrão contratuais aprovadas pela ANPD, que integram as Seções I, II e III;

d) Contrato Coligado: instrumento contratual firmado entre as Partes ou, pelo menos, entre uma destas e um terceiro, incluindo um Terceiro Controlador, que possua propósito comum, vinculação ou relação de dependência com o contrato que rege a Transferência Internacional de Dados;

e) Controlador: Parte ou terceiro ("Terceiro Controlador") a quem compete as decisões referentes ao tratamento de Dados Pessoais;

f) Dado Pessoal: informação relacionada a pessoa natural identificada ou identificável;

g) Dado Pessoal Sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

h) Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

i) Exportador: agente de tratamento, localizado no território nacional ou em país estrangeiro, que transfere dados pessoais para Importador;

j) Importador: agente de tratamento, localizado em país estrangeiro ou que seja organismo internacional, que recebe dados pessoais transferidos por Exportador;

k) Legislação Nacional: conjunto de dispositivos constitucionais, legais e regulamentares brasileiros a respeito da proteção de Dados Pessoais, incluindo a Lei nº 13.709, de 14 de agosto de 2018, o Regulamento de Transferência Internacional de Dados e outros atos normativos expedidos pela ANPD;

l) Lei de Arbitragem: Lei nº 9.307, de 23 de setembro de 1996;

m) Medidas de Segurança: medidas técnicas e administrativas adotadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

n) Órgão de Pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;

o) Operador: Parte ou terceiro, incluindo um Subcontratado, que realiza o tratamento de Dados Pessoais em nome do Controlador;

p) Parte Designada: Parte do contrato designada, nos termos da Cláusula 4 ("Opção A"), para cumprir, na condição de Controlador, obrigações específicas relativas à transparência, direitos dos Titulares e comunicação de incidentes de segurança;

q) Partes: Exportador e Importador;

r) Solicitação de Acesso: solicitação de atendimento obrigatório, por força de lei, regulamento ou determinação de autoridade pública, para conceder acesso aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas;

s) Subcontratado: agente de tratamento contratado pelo Importador, sem vínculo com o Exportador, para realizar tratamento de Dados Pessoais após uma Transferência Internacional de Dados;

t) Terceiro Controlador: Controlador dos Dados Pessoais que fornece instruções por escrito para a realização, em seu nome, da Transferência Internacional de Dados entre Operadores regida por estas Cláusulas, na forma da Cláusula 4 ("Opção B");

u) Titular: pessoa natural a quem se referem os Dados Pessoais que são objeto da Transferência Internacional de Dados regida por estas Cláusulas;

v) Transferência: modalidade de tratamento por meio da qual um agente de tratamento transmite, compartilha ou disponibiliza acesso a Dados Pessoais a outro agente de tratamento;

w) Transferência Internacional de Dados: transferência de Dados Pessoais para país estrangeiro ou organismo internacional do qual o país seja membro; e

x) Transferência Posterior: transferência Internacional de Dados, originada de um Importador, e destinada a um terceiro, incluindo um Subcontratado, desde que não configure Solicitação de Acesso.

CLÁUSULA 7. Legislação aplicável e fiscalização da ANPD

7.1. A Transferência Internacional de Dados objeto das presentes Cláusulas submete-se à Legislação Nacional e à fiscalização da ANPD, incluindo o poder de aplicar medidas preventivas e sanções administrativas a ambas as Partes, conforme o caso, bem como o de limitar, suspender ou proibir as transferências internacionais decorrentes destas Cláusulas ou de um Contrato Coligado.

CLÁUSULA 8. Interpretação

8.1. Qualquer aplicação destas Cláusulas deve ocorrer de acordo com os seguintes termos:

a) estas Cláusulas devem sempre ser interpretadas de forma mais favorável ao Titular e de acordo com as disposições da Legislação Nacional;

b) em caso de dúvida sobre o significado de termos destas Cláusulas, aplica-se o significado que mais se alinha com a Legislação Nacional;

c) nenhum item destas Cláusulas, incluindo-se aqui um Contrato Coligado e as disposições previstas na Seção IV, poderá ser interpretado com o objetivo de limitar ou excluir a responsabilidade de qualquer uma das Partes em relação a obrigações previstas na Legislação Nacional; e

d) as disposições das Seções I e II prevalecem em caso de conflito de interpretação com Cláusulas adicionais e demais disposições previstas nas Seções III e IV deste instrumento ou em Contratos Coligados.

CLÁUSULA 9. Possibilidade de adesão de terceiros

9.1. Em comum acordo entre as Partes, é possível a um agente de tratamento aderir a estas Cláusulas na condição de Exportador ou de Importador, por meio do preenchimento e assinatura de documento escrito, que integrará o presente instrumento.

9.2. A parte aderente terá os mesmos direitos e obrigações das Partes originárias, conforme a posição assumida de Exportador ou Importador e de acordo com a categoria de agente de tratamento correspondente.

CLÁUSULA 10. Obrigações gerais das Partes

10.1. As Partes se comprometem a adotar e, quando necessário, demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das disposições destas Cláusulas e da Legislação Nacional e, inclusive, da eficácia dessas medidas e, em especial:

a) utilizar os Dados Pessoais somente para as finalidades específicas descritas na Cláusula 2, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades, observadas, em qualquer caso, as limitações, garantias e salvaguardas previstas nestas Cláusulas;

b) garantir a compatibilidade do tratamento com as finalidades informadas ao Titular, de acordo com o contexto do tratamento;

c) limitar o tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de Dados Pessoais;

d) garantir aos Titulares, observado o disposto na Cláusula 4.

(d.1.) informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

(d.2.) consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus Dados Pessoais; e

(d.3.) a exatidão, clareza, relevância e atualização dos Dados Pessoais, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

e) adotar as medidas de segurança apropriadas e compatíveis com os riscos envolvidos na Transferência Internacional de Dados regida por estas Cláusulas;

f) não realizar tratamento de Dados Pessoais para fins discriminatórios ilícitos ou abusivos;

g) assegurar que qualquer pessoa que atue sob sua autoridade, inclusive subcontratados ou qualquer agente que com ele colabore, de forma gratuita ou onerosa, realize tratamento de dados apenas em conformidade com suas instruções e com o disposto nestas Cláusulas; e

h) manter registro das operações de tratamento dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, e apresentar a documentação pertinente à ANPD, quando solicitado.

CLÁUSULA 11. Dados pessoais sensíveis

11.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais sensíveis, as Partes aplicarão salvaguardas adicionais, incluindo medidas de segurança específicas e proporcionais aos riscos da atividade de tratamento, à natureza específica dos dados e aos interesses, direitos e garantias a serem protegidos, conforme descrito na Seção III.

CLÁUSULA 12. Dados pessoais de crianças e adolescentes

12.1. Caso a Transferência Internacional de Dados envolva Dados Pessoais de crianças e adolescentes, as Partes aplicarão salvaguardas adicionais, incluindo medidas que assegurem que o tratamento seja realizado em seu melhor interesse, nos termos da Legislação Nacional e dos instrumentos pertinentes de direito internacional.

CLÁUSULA 13. Uso legal dos dados

13.1. O Exportador garante que os Dados Pessoais foram coletados, tratados e transferidos para o Importador de acordo com a Legislação Nacional.

CLÁUSULA 14. Transparência

14.1. A Parte Designada publicará, em sua página na Internet, documento contendo informações facilmente acessíveis redigidas em linguagem simples, clara e precisa sobre a realização da Transferência Internacional de Dados, incluindo, pelo menos, informações sobre:

a) a forma, a duração e a finalidade específica da transferência internacional;

b) o país de destino dos dados transferidos;

c) a identificação e os contatos da Parte Designada;

d) o uso compartilhado de dados pelas Partes e a finalidade;

e) as responsabilidades dos agentes que realizarão o tratamento;

f) os direitos do Titular e os meios para o seu exercício, incluindo canal de fácil acesso disponibilizado para atendimento às suas solicitações e o direito de peticionar contra o Controlador perante a ANPD; e

g) Transferências Posteriores, incluindo as relativas aos destinatários e à finalidade da transferência.

14.2. O documento referido no item 14.1. poderá ser disponibilizado em página específica ou integrado, de forma destacada e de fácil acesso, à Política de Privacidade ou documento equivalente.

14.3. A pedido, as Partes devem disponibilizar, gratuitamente, ao Titular uma cópia destas Cláusulas, observados os segredos comercial e industrial.

14.4. Todas as informações disponibilizadas aos titulares, nos termos destas Cláusulas, deverão ser redigidas na língua portuguesa.

CLÁUSULA 15. Direitos do Titular

15.1. O Titular tem direito a obter da Parte Designada, em relação aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, a qualquer momento, e mediante requisição, nos termos da Legislação Nacional:

a) confirmação da existência de tratamento;

b) acesso aos dados;

c) correção de dados incompletos, inexatos ou desatualizados;

d) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com estas Cláusulas e com o disposto na Legislação Nacional;

e) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da ANPD, observados os segredos comercial e industrial;

f) eliminação dos Dados Pessoais tratados com o consentimento do Titular, exceto nas hipóteses previstas na Cláusula 20;

g) informação das entidades públicas e privadas com as quais as Partes realizaram uso compartilhado de dados;

h) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

i) revogação do consentimento mediante procedimento gratuito e facilitado, ratificados os tratamentos realizados antes do requerimento de eliminação;

j) revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade; e

k) informações a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

15.2. O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nestas Cláusulas ou na Legislação Nacional.

15.3. O prazo para atendimento às solicitações previstas nesta Cláusula e no item 14.3. é de 15 (quinze) dias contados da data do requerimento do titular, ressalvada a hipótese de prazo distinto estabelecido em regulamentação específica da ANPD.

15.4. Caso a solicitação do Titular seja direcionada à Parte não designada como responsável pelas obrigações previstas nesta Cláusula ou no item 14.3., a Parte deverá:

a) informar ao Titular o canal de atendimento disponibilizado pela Parte Designada; ou

b) encaminhar a solicitação para a Parte Designada o quanto antes, a fim de viabilizar a resposta no prazo previsto no item 15.3.

15.5. As Partes deverão informar, imediatamente, aos Agentes de Tratamento com os quais tenham realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.

15.6. As Partes devem promover assistência mútua com a finalidade de atender às solicitações dos Titulares.

CLÁUSULA 16. Comunicação de Incidente de Segurança

16.1. A Parte Designada deverá comunicar à ANPD e aos Titulares, no prazo de 3 (três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante para os Titulares, observado o disposto na Legislação Nacional.

16.2. O Importador deve manter o registro de incidentes de segurança nos termos da Legislação Nacional.

CLÁUSULA 17. Responsabilidade e ressarcimento de danos

17.1. A Parte que, em razão do exercício da atividade de tratamento de Dados Pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação às disposições destas Cláusulas e da Legislação Nacional, é obrigada a repará-lo.

17.2. O Titular poderá pleitear a reparação do dano causado por quaisquer das Partes em razão da violação destas Cláusulas.

17.3. A defesa dos interesses e dos direitos dos Titulares poderá ser pleiteada em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente acerca dos instrumentos de tutela individual e coletiva.

17.4. A Parte que atuar como Operador responde, solidariamente, pelos danos causados pelo tratamento quando descumprir as presentes Cláusulas ou quando não tiver seguido as instruções lícitas do Controlador, ressalvado o disposto no item 17.6.

17.5. Os Controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao Titular respondem, solidariamente, por estes danos, ressalvado o disposto no item 17.6.

17.6. Não caberá responsabilização das Partes se comprovado que:

a) não realizaram o tratamento de Dados Pessoais que lhes é atribuído;

b) embora tenham realizado o tratamento de Dados Pessoais que lhes é atribuído, não houve violação a estas Cláusulas ou à Legislação Nacional; ou

c) o dano é decorrente de culpa exclusiva do Titular ou de terceiro que não seja destinatário de Transferência Posterior ou subcontratado pelas Partes.

17.7. Nos termos da Legislação Nacional, o juiz poderá inverter o ônus da prova a favor do Titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo Titular resultar-lhe excessivamente onerosa.

17.8. As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos desta Cláusula podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

17.9. A Parte que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

CLÁUSULA 18. Salvaguardas para Transferência Posterior

18.1. O Importador somente poderá realizar Transferências Posteriores dos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas se expressamente autorizado, conforme as hipóteses e condições descritas na Cláusula 3.

18.2. Em qualquer caso, o Importador:

a) deve assegurar que a finalidade da Transferência Posterior é compatível com as finalidades específicas descritas na Cláusula 2;

b) deve garantir, mediante instrumento contratual escrito, que as salvaguardas previstas nestas Cláusulas serão observadas pelo terceiro destinatário da Transferência Posterior; e

c) para fins destas Cláusulas, e em relação aos Dados Pessoais transferidos, será considerado o responsável por eventuais irregularidades praticadas pelo terceiro destinatário da Transferência Posterior.

18.3. A Transferência Posterior poderá, ainda, ser realizada com base em outro mecanismo válido de Transferência Internacional de Dados previsto na Legislação Nacional, independentemente da autorização de que trata a Cláusula 3.

CLÁUSULA 19. Notificação de Solicitação de Acesso

19.1. O Importador notificará o Exportador e o Titular sobre Solicitação de Acesso relacionada aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, ressalvada a hipótese de vedação de notificação pela lei do país de tratamento dos dados.

19.2. O Importador adotará as medidas legais cabíveis, incluindo ações judiciais, para proteger os direitos dos Titulares sempre que houver fundamento jurídico adequado para questionar a legalidade da Solicitação de Acesso e, se for o caso, a vedação de realizar a notificação referida no item 19.1.

19.3. Para atender às solicitações da ANPD e do Exportador, o Importador deve manter registro de Solicitações de Acesso, incluindo data, solicitante, finalidade da solicitação, tipo de dados solicitados, número de solicitações recebidas e medidas legais adotadas.

CLÁUSULA 20. Término do tratamento e eliminação dos dados

20.1. As Partes deverão eliminar os Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas após o término do tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação apenas para as seguintes finalidades:

a) cumprimento de obrigação legal ou regulatória pelo Controlador;

b) estudo por Órgão de Pesquisa, garantida, sempre que possível, a anonimização dos Dados Pessoais;

c) transferência a terceiro, desde que respeitados os requisitos previstos nestas Cláusulas e na Legislação Nacional; e

d) uso exclusivo do Controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

20.2. Para fins desta Cláusula, considera-se que o término do tratamento ocorrerá quando:

a) alcançada a finalidade prevista nestas Cláusulas;

b) os Dados Pessoais deixarem de ser necessários ou pertinentes ao alcance da finalidade específica prevista nestas Cláusulas;

c) finalizado o período de tratamento;

d) atendida solicitação do Titular; e

e) determinado pela ANPD, quando houver violação ao disposto nestas Cláusulas ou na Legislação Nacional.

CLÁUSULA 21. Segurança no tratamento dos dados

21.1. As Partes deverão adotar medidas de segurança que garantam proteção aos Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas, mesmo após o seu término.

21.2. As Partes informarão, na Seção III, as Medidas de Segurança adotadas, considerando a natureza das informações tratadas, as características específicas e a finalidade do tratamento, o estado atual da tecnologia e os riscos para os direitos dos Titulares, especialmente no caso de dados pessoais sensíveis e de crianças e adolescentes.

21.3. As Partes deverão realizar os esforços necessários para adotar medidas periódicas de avaliação e revisão visando manter nível de segurança adequado às características do tratamento de dados. 

CLÁUSULA 22. Legislação do país destinatário dos dados

22.1. O Importador declara que não identificou leis ou práticas administrativas do país destinatário dos Dados Pessoais que o impeçam de cumprir as obrigações assumidas nestas Cláusulas.

22.2. Sobrevindo alteração normativa que altere esta situação, o Importador notificará, de imediato, o Exportador para avaliação da continuidade do contrato.

CLÁUSULA 23. Descumprimento das Cláusulas pelo Importador

23.1. Havendo violação das salvaguardas e garantias previstas nestas Cláusulas ou a impossibilidade de seu cumprimento pelo Importador, o Exportador deverá ser comunicado imediatamente, ressalvado o disposto no item 19.1.

23.2. Recebida a comunicação de que trata o item 23.1 ou verificado o descumprimento destas Cláusulas pelo Importador, o Exportador adotará as providências pertinentes para assegurar a proteção aos direitos dos Titulares e a conformidade da Transferência Internacional de Dados com a Legislação Nacional e as presentes Cláusulas, podendo, conforme o caso:

a) suspender a Transferência Internacional de Dados;

b) solicitar a devolução dos Dados Pessoais, sua transferência a um terceiro, ou a sua eliminação; e

c) rescindir o contrato.

CLÁUSULA 24. Eleição do foro e jurisdição

24.1. Aplica-se a estas Cláusulas a legislação brasileira e qualquer controvérsia entre as Partes decorrente destas Cláusulas será resolvida perante os tribunais competentes do Brasil, observado, se for o caso, o foro eleito pelas Partes na Seção IV.

24.2. Os Titulares podem ajuizar ações judiciais contra o Exportador ou o Importador, conforme sua escolha, perante os tribunais competentes no Brasil, inclusive naqueles localizados no local de sua residência.

24.3. Em comum acordo, as Partes poderão se valer da arbitragem para resolver os conflitos decorrentes destas Cláusulas, desde que realizada no Brasil e conforme as disposições da Lei de Arbitragem.

Seção III - Medidas De Segurança

CLÁUSULA 25. Medidas de Segurança adotadas pelas Partes

25.1. Medidas de segurança adotadas pelo Exportador:

O Exportador implementou e mantém medidas técnicas e organizacionais adequadas para prevenir a destruição, perda, alteração, divulgação não autorizada ou o acesso acidental ou ilícito a Dados Pessoais.

A seguir, destacam-se algumas medidas adotadas:

• Medidas de governança e supervisão de processos internos:

1. Gestão de ativos, identidades e controle de acessos, com base em princípios de privilégio mínimo (PoLP) e segregação de funções.

2. Classificação e tratamento da informação com rotulagem de documentos e dados de acordo com seu nível de sensibilidade e confidencialidade. 

3. Programas contínuos de conscientização e capacitação, garantindo que colaboradores cumpram suas responsabilidades de segurança e privacidade.

4. Revisões e auditorias periódicas, garantindo a supervisão da efetividade dos controles e conformidade com requisitos regulatórios.

• Medidas de segurança técnicas e administrativas implementadas em recortes de ativos conforme decisão estratégica da empresa:

1. Uso de ferramentas como Firewalls e IDS/IPS. 

2. Implementação de cópias de segurança (backups) regulares, incluindo backups imutáveis para evitar alterações ou exclusões indevidas.

3. Gestão de vulnerabilidades e incidentes, com uso de antivírus nos ativos, monitoramento contínuo, aplicação de atualizações de segurança e procedimentos de resposta a incidentes.

4. Realização de testes de segurança periódicos, incluindo testes de intrusão (Pentest) recorrentes e uso de inteligência de ameaças, visando a melhoria contínua da resiliência cibernética.

Tais medidas são revisadas e aprimoradas regularmente, em alinhamento com boas práticas de mercado e exigências legais e regulatórias.

The Standard Contractual Clauses below are automatically incorporated into all contracts, terms of use, and terms of services entered into between the companies of Arco Educação Group and international suppliers, whenever there is an international transfer of personal data, with such relationships being fully subject to the provisions established herein.

For the purposes of these Clauses, “Contract” means the instrument entered into between the Data Exporter and the Data Importer to which these Clauses are integrated.

Standard Contractual Clauses for the International Transfer of Personal Data 

Section I - General Information

CLAUSE 1. Identification of the Parties

1.1. By means of this contractual instrument, the Exporter and the Importer (hereinafter, "Parties"), identified below, resolve to adopt the standard contractual clauses (hereinafter "Clauses") approved by the National Data Protection Authority (ANPD), to govern the International Data Transfer described in Clause 2, in accordance with the provisions of the National Legislation.

Company Qualifications and Information that is part of the Arco Educação Group conglomerate:

Name: Name of one of the companies that is part of the Arco Educação Group conglomerate and that is specified in the Contract between the parties.

Qualification: As specified in the Contract.

Main Address: As specified in the Contract.

E-mail address: As specified in the Contract.

Contact for the Data Subject: privacidade@arcoeducacao.com.br

(x) Exporter/Controller

Supplier Qualifications and Information:

Name: Supplier or Partner, as applicable and specified in the Contract entered into between the parties.

Qualification: As specified in the Contract.

Main Address: As specified in the Contract.

E-mail address: As specified in the Contract.

Contact for the Data Subject – name, title and contact information: The contact details of the Supplier or Partner are specified in the Contract entered into between the parties.

(x) Importer/Processor OR

(x) Importer/Processor

As per the Contract scope.

CLAUSE 2. Scope

2.1. These Clauses apply to the International Data Transfers from the Exporter to the Importer, as described below.

Main purposes of the transfer: The Importer will process the personal data to provide and monitor the Services as per the Contract entered into between the parties, including, but not limited to those provided for in the Exporter's Privacy Policy: 

1. Data hosting, IT infrastructure and cloud services; 

2. Management of questionnaires, assessments and user interaction/feedback; 

3. Collection of metrics, digital campaigns and analysis of user interaction;

4. Monitoring of applications, logs, performance, code security and identification of vulnerabilities;

5. Provision of digital/physical educational materials, socio-emotional assessments and academic support.

Categories of personal data transferred: The personal data transferred may include any data that are specified and provided for in the Arco Educação Group's Privacy Policy.

Data retention period: Throughout the entire contractual relationship between the Exporter and the Importer, observing the necessary period for compliance with contractual, legal, and regulatory duties, or as per the period defined in a previously executed contract.

CLAUSE 3. Onward Transfers

3.1. The Importer may carry out an Onward Transfer of the Personal Data subject to the International Data Transfer governed by these Clauses in the events and under the conditions described below, provided that the provisions of Clause 18 are observed.

Main purposes of the transfer: As necessary for the provision of the Services specified in the Contract entered into between Exporter and Importer.

Categories of personal data transferred: As specified in the Contract entered into between Exporter and Importer.

Data retention period: Throughout the entire contractual relationship between the Exporter and the Importer, observing the necessary period for compliance with contractual, legal, and regulatory duties, or as per the period defined in a previously executed contract.

It should be noted that for cases of onward transfers, the Importer shall be exclusively responsible for verifying through due diligence or an equivalent procedure that its Sub-processor(s) guarantee a level of security and protection of Personal Data at least equivalent to the legislation and guidelines of the countries involved, and to provide evidence of this verification to the Exporter upon request;

CLAUSE 4. Responsibilities of the Parties

4.1. Without prejudice to the duty of mutual assistance and the general obligations of the Parties, the Designated Party below, as the Controller, shall be responsible for complying with the following obligations set forth in these Clauses:

a) Responsible for publishing the document provided for in Clause 14;

(x) Exporter ( ) Importer

b) Responsible for handling data subject requests as referred to in CLAUSE 15:

(x) Exporter ( ) Importer

c) Responsible for carrying out the security incident communication provided for in Clause 16:

(x) Exporter ( ) Importer

4.2. For the purposes of these Clauses, if it is subsequently verified that the Designated Party, as per item 4.1, acts as a Processor, the Controller shall remain responsible:

a) for the fulfillment of the obligations set forth in Clauses 14, 15, and 16 and other provisions established in the National Legislation, especially in case of omission or non-compliance with the obligations by the Designated Party;

b) for complying with the determinations of the ANPD; and

c) for guaranteeing the rights of the Data Subjects and for repairing any damages caused, in accordance with the provisions of Clause 17.

Section II - Mandatory Clauses

This section contains Clauses that must be adopted in their entirety and without any alteration to their text in order to ensure the validity of the international data transfer.

CLAUSE 5. Purpose

5.1. These Clauses serve as a mechanism to enable the secure international flow of personal data, establish minimum guarantees and valid conditions for carrying out an International Data Transfer, and aim to ensure the adoption of adequate safeguards for the fulfillment of the principles, the rights of the Data Subject, and the data protection regime provided for in the National Legislation.

CLAUSE 6. Definitions

6.1. For the purposes of these Clauses, the definitions from art. 5 of Law No. 13,709, of August 14, 2018, and from art. 3 of the Regulation on International Transfer of Personal Data shall be considered, without prejudice to other normative acts issued by the ANPD. The Parties also agree to consider the terms and their respective meanings as set out below:

a) Processing Agents: the controller and the processor;

b) ANPD: National Data Protection Authority;

c) Clauses: the standard contractual clauses approved by the ANPD, which comprise Sections I, II, and III;

d) Related Agreement: a contractual instrument signed between the Parties or, at least, between one of them and a third party, including a Third-Party Controller, which has a common purpose, connection, or dependency relationship with the contract governing the International Data Transfer;

e) Controller: a Party or third party ("Third-Party Controller") responsible for making decisions regarding the processing of Personal Data;

f) Personal Data: information related to an identified or identifiable natural person;

g) Sensitive Personal Data: personal data concerning racial or ethnic origin, religious conviction, political opinion, membership in a trade union or in a religious, philosophical, or political organization, data concerning health or sex life, genetic or biometric data, when linked to a natural person;

h) Deletion: the exclusion of data or a set of data stored in a database, regardless of the procedure used;

i) Exporter: a processing agent, located in the national territory or in a foreign country, who transfers personal data to an Importer;

j) Importer: a processing agent, located in a foreign country or which is an international organization, that receives personal data transferred by an Exporter;

k) National Legislation: the set of Brazilian constitutional, legal, and regulatory provisions regarding the protection of Personal Data, including Law No. 13,709, of August 14, 2018, the Regulation on International Data Transfer, and other normative acts issued by the ANPD;

l) Arbitration Law: Law No. 9,307, of September 23, 1996;

m) Security Measures: technical and administrative measures adopted to protect personal data from unauthorized access and from accidental or unlawful situations of destruction, loss, alteration, communication, or dissemination;

n) Research Body: an organ or entity of the direct or indirect public administration or a non-profit private legal entity legally constituted under Brazilian laws, with its headquarters and jurisdiction in the country, which includes in its institutional mission or in its social or statutory objective basic or applied research of a historical, scientific, technological, or statistical nature;

o) Processor: a Party or third party, including a Sub-processor, that processes Personal Data on behalf of the Controller;

p) Designated Party: the Party to the contract designated, under the terms of Clause 4 ("Option A"), to fulfill, as the Controller, specific obligations related to transparency, Data Subjects' rights, and security incident communication;

q) Parties: Exporter and Importer;

r) Access Request: a request for mandatory compliance, by force of law, regulation, or determination by a public authority, to grant access to the Personal Data subject to the International Data Transfer governed by these Clauses;

s) Sub-processor: a processing agent contracted by the Importer, with no link to the Exporter, to carry out the processing of Personal Data after an International Data Transfer;

t) Third-Party Controller: the Controller of the Personal Data who provides written instructions for the International Data Transfer between Processors governed by these Clauses to be carried out on its behalf, as provided in Clause 4 ("Option B");

u) Data Subject: the natural person to whom the Personal Data subject to the International Data Transfer governed by these Clauses refer;

v) Transfer: a type of processing through which a processing agent transmits, shares, or makes Personal Data available to another processing agent;

w) International Data Transfer: the transfer of Personal Data to a foreign country or an international organization of which the country is a member; and

x) Onward Transfer: an International Data Transfer originating from an Importer and intended for a third party, including a Sub-processor, provided it does not constitute an Access Request.

CLAUSE 7. Applicable Law and ANPD Oversight

7.1. The International Data Transfer subject to these Clauses is subject to the National Legislation and the oversight of the ANPD, including the power to apply preventive measures and administrative sanctions to both Parties, as the case may be, as well as to limit, suspend, or prohibit the international transfers arising from these Clauses or from a Related Agreement.

CLAUSE 8. Interpretation

8.1. Any application of these Clauses must occur in accordance with the following terms:

a) these Clauses must always be interpreted in a manner that is most favorable to the Data Subject and in accordance with the provisions of the National Legislation;

b) in case of doubt about the meaning of terms in these Clauses, the meaning that best aligns with the National Legislation shall apply;

c) no item of these Clauses, including a Related Agreement and the provisions set forth in Section IV, may be interpreted with the objective of limiting or excluding the liability of either Party in relation to obligations provided for in the National Legislation; and

d) the provisions of Sections I and II shall prevail in the event of a conflict of interpretation with additional Clauses and other provisions set forth in Sections III and IV of this instrument or in Related Agreements.

CLAUSE 9. Possibility of Third-Party Accession

9.1. By mutual agreement between the Parties, it is possible for a processing agent to accede to these Clauses as an Exporter or an Importer, by filling out and signing a written document, which shall become an integral part of this instrument.

9.2. The acceding party shall have the same rights and obligations as the original Parties, according to the position assumed as Exporter or Importer and in accordance with the corresponding category of processing agent.

CLAUSE 10. General obligations of the Parties

10.1. The Parties undertake to adopt and, when necessary, demonstrate the adoption of effective measures capable of proving the observance and fulfillment of the provisions of these Clauses and of the National Legislation, including the effectiveness of these measures, and in particular:

a) to use the Personal Data only for the specific purposes described in Clause 2, with no possibility of subsequent processing in a manner incompatible with those purposes, observing, in any case, the limitations, guarantees, and safeguards provided for in these Clauses;

b) to ensure the compatibility of the processing with the purposes informed to the Data Subject, in accordance with the context of the processing;

c) to limit the processing to the minimum necessary for the achievement of its purposes, covering data that is relevant, proportional, and not excessive in relation to the purposes of the Personal Data processing;

d) to guarantee to the Data Subjects, in observance of the provisions of Clause 4:

(d.1.) clear, precise, and easily accessible information about the performance of the processing and the respective processing agents, observing commercial and industrial secrets;

(d.2.) easy and free consultation on the form and duration of the processing, as well as on the entirety of their Personal Data; and

(d.3.) the accuracy, clarity, relevance, and updating of the Personal Data, according to the need and for the fulfillment of the purpose of its processing;

e) to adopt appropriate security measures compatible with the risks involved in the International Data Transfer governed by these Clauses;

f) not to process Personal Data for unlawful or abusive discriminatory purposes;

g) to ensure that any person acting under its authority, including sub-processors or any agent collaborating with it, whether for a fee or free of charge, processes data only in accordance with its instructions and with the provisions of these Clauses; and

h) to maintain a record of the processing operations of the Personal Data subject to the International Data Transfer governed by these Clauses, and to present the relevant documentation to the ANPD, when requested.

CLAUSE 11. Sensitive personal data

11.1. If the International Data Transfer involves sensitive Personal Data, the Parties shall apply additional safeguards, including specific security measures proportional to the risks of the processing activity, the specific nature of the data, and the interests, rights, and guarantees to be protected, as described in Section III.

CLAUSE 12. Personal data of children and adolescents

12.1. If the International Data Transfer involves Personal Data of children and adolescents, the Parties shall apply additional safeguards, including measures to ensure that the processing is carried out in their best interest, under the terms of the National Legislation and relevant international law instruments.

CLAUSE 13. Lawful use of data

13.1. The Exporter guarantees that the Personal Data has been collected, processed, and transferred to the Importer in accordance with the National Legislation.

CLAUSE 14. Transparency

14.1. The Designated Party shall publish, on its website, a document containing easily accessible information written in simple, clear, and precise language about the performance of the International Data Transfer, including, at a minimum, information on:

a) the form, duration, and specific purpose of the international transfer;

b) the country of destination for the transferred data;

c) the identification and contact details of the Designated Party;

d) the shared use of data by the Parties and the purpose;

e) the responsibilities of the agents who will carry out the processing;

f) the Data Subject's rights and the means for exercising them, including an easily accessible channel made available to handle their requests and the right to petition the ANPD against the Controller; and

g) Onward Transfers, including those related to the recipients and the purpose of the transfer.

14.2. The document referred to in item 14.1 may be made available on a specific page or integrated, in a prominent and easily accessible manner, into the Privacy Policy or an equivalent document.

14.3. Upon request, the Parties must make a copy of these Clauses available to the Data Subject, free of charge, observing commercial and industrial secrets.

14.4. All information made available to data subjects under the terms of these Clauses must be written in the Portuguese language.

CLAUSE 15. Data Subject's rights

15.1. The Data Subject has the right to obtain from the Designated Party, in relation to the Personal Data subject to the International Data Transfer governed by these Clauses, at any time and upon request, under the terms of the National Legislation:

a) confirmation of the existence of processing;

b) access to the data;

c) correction of incomplete, inaccurate, or outdated data;

d) anonymization, blocking, or deletion of unnecessary, excessive data, or data processed in non-compliance with these Clauses and with the provisions of the National Legislation;

e) portability of the data to another service or product provider, upon express request, in accordance with ANPD regulations, observing commercial and industrial secrets;

f) deletion of Personal Data processed with the consent of the Data Subject, except in the cases provided for in Clause 20;

g) information about the public and private entities with which the Parties have shared data;

h) information about the possibility of not providing consent and about the consequences of refusal;

i) revocation of consent through a free and facilitated procedure, with the processing carried out before the deletion request being ratified;

j) review of decisions made solely on the basis of automated processing of personal data that affect their interests, including decisions intended to define their personal, professional, consumption, and credit profile or aspects of their personality; and

k) information regarding the criteria and procedures used for the automated decision, observing commercial and industrial secrets.

15.2. The data subject may object to processing carried out on the basis of one of the exemptions from consent, in case of non-compliance with the provisions of these Clauses or the National Legislation.

15.3. The deadline for responding to the requests provided for in this Clause and in item 14.3 is 15 (fifteen) days from the date of the data subject's request, unless a different deadline is established in specific regulations by the ANPD.

15.4. If the Data Subject's request is directed to the Party not designated as responsible for the obligations provided for in this Clause or in item 14.3, that Party must:

a) inform the Data Subject of the service channel provided by the Designated Party; or

b) forward the request to the Designated Party as soon as possible, in order to enable a response within the period provided for in item 15.3. 

15.5. The Parties shall immediately inform the Processing Agents with whom they have shared data of the correction, deletion, anonymization, or blocking of the data, so that they may repeat the identical procedure, except in cases where this communication is proven to be impossible or involves a disproportionate effort.

15.6. The Parties must provide mutual assistance for the purpose of responding to the requests of the Data Subjects.

CLAUSE 16. Security Incident Communication

16.1. The Designated Party must communicate to the ANPD and the Data Subjects, within 3 (three) business days, the occurrence of a security incident that may entail significant risk or harm to the Data Subjects, in observance of the provisions of the National Legislation.

16.2. The Importer must maintain a record of security incidents in accordance with the National Legislation.

CLAUSE 17. Liability and compensation for damages

17.1. The Party that, by reason of carrying out the activity of processing Personal Data, causes patrimonial, moral, individual, or collective damage, in violation of the provisions of these Clauses and the National Legislation, is obligated to repair it.

17.2. The Data Subject may claim compensation for the damage caused by any of the Parties by reason of the violation of these Clauses.

17.3. The defense of the interests and rights of the Data Subjects may be claimed in court, individually or collectively, as provided for in the relevant legislation regarding instruments for individual and collective protection.

17.4. The Party acting as a Processor is jointly and severally liable for the damages caused by the processing when it fails to comply with these Clauses or when it has not followed the lawful instructions of the Controller, without prejudice to the provisions of item 17.6.

17.5. The Controllers that are directly involved in the processing from which damages to the Data Subject arose are jointly and severally liable for these damages, without prejudice to the provisions of item 17.6.

17.6. The Parties shall not be held liable if it is proven that:

a) they did not carry out the processing of Personal Data attributed to them;

b) although they carried out the processing of Personal Data attributed to them, there was no violation of these Clauses or the National Legislation; or

c) the damage results from the exclusive fault of the Data Subject or a third party who is not a recipient of an Onward Transfer or a sub-processor of the Parties.

17.7. Under the terms of the National Legislation, the judge may reverse the burden of proof in favor of the Data Subject when, in the judge's opinion, the allegation is plausible, there is insufficient means for the production of evidence, or when the production of evidence by the Data Subject would be excessively burdensome for them.

17.8. Actions for compensation for collective damages that have as their object liability under the terms of this Clause may be exercised collectively in court, in observance of the provisions of the relevant legislation.

17.9. The Party that repairs the damage to the data subject has the right of redress against the other responsible parties, to the extent of their participation in the harmful event.

CLAUSE 18. Safeguards for Onward Transfer

18.1. The Importer may only carry out Onward Transfers of the Personal Data subject to the International Data Transfer governed by these Clauses if expressly authorized, according to the hypotheses and conditions described in Clause 3.

18.2. In any case, the Importer:

a) must ensure that the purpose of the Onward Transfer is compatible with the specific purposes described in Clause 2;

b) must guarantee, by means of a written contractual instrument, that the safeguards provided for in these Clauses will be observed by the third-party recipient of the Onward Transfer; and

c) for the purposes of these Clauses, and in relation to the transferred Personal Data, shall be considered responsible for any irregularities committed by the third-party recipient of the Onward Transfer.

18.3. The Onward Transfer may also be carried out based on another valid mechanism for International Data Transfer provided for in the National Legislation, regardless of the authorization referred to in Clause 3.

CLAUSE 19. Notification of Access Request

19.1. The Importer shall notify the Exporter and the Data Subject of any Access Request related to the Personal Data subject to the International Data Transfer governed by these Clauses, except in the event that notification is prohibited by the law of the country where the data is processed.

19.2. The Importer shall take the appropriate legal measures, including legal action, to protect the rights of the Data Subjects whenever there is an adequate legal basis to question the legality of the Access Request and, if applicable, the prohibition on providing the notification referred to in item 19.1.

19.3. To meet the requests of the ANPD and the Exporter, the Importer must maintain a record of Access Requests, including the date, the requester, the purpose of the request, the type of data requested, the number of requests received, and the legal measures taken.

CLAUSE 20. Termination of processing and deletion of data

20.1. The Parties must delete the Personal Data subject to the International Data Transfer governed by these Clauses after the termination of the processing, within the scope and technical limits of the activities, with retention being authorized only for the following purposes:

a) compliance with a legal or regulatory obligation by the Controller;

b) for study by a Research Body, ensuring, whenever possible, the anonymization of the Personal Data;

c) transfer to a third party, provided that the requirements set forth in these Clauses and in the National Legislation are respected; and

d) for the exclusive use of the Controller, with access by third parties being prohibited, and provided that the data is anonymized.

20.2. For the purposes of this Clause, the termination of processing is considered to occur when:

a) the purpose provided for in these Clauses is achieved;

b) the Personal Data are no longer necessary or relevant to achieve the specific purpose provided for in these Clauses;

c) the processing period has ended;

d) a request from the Data Subject is met; and

e) determined by the ANPD, when there is a violation of the provisions of these Clauses or the National Legislation.

CLAUSE 21. Security in data processing

21.1. The Parties must adopt security measures that guarantee the protection of the Personal Data subject to the International Data Transfer governed by these Clauses, even after its termination.

21.2. The Parties shall inform, in Section III, the Security Measures adopted, considering the nature of the information processed, the specific characteristics and purpose of the processing, the current state of technology, and the risks to the rights of the Data Subjects, especially in the case of sensitive personal data and data of children and adolescents.

21.3. The Parties must make the necessary efforts to adopt periodic evaluation and review measures in order to maintain a level of security appropriate to the characteristics of the data processing.

CLAUSE 22. Legislation of the data recipient's country

22.1. The Importer declares that it has not identified any laws or administrative practices in the recipient country of the Personal Data that would prevent it from fulfilling the obligations assumed in these Clauses.

22.2. Should a regulatory change occur that alters this situation, the Importer shall immediately notify the Exporter to assess the continuation of the contract.

CLAUSE 23. Non-compliance with the Clauses by the Importer

23.1. In the event of a violation of the safeguards and guarantees provided for in these Clauses or the impossibility of their fulfillment by the Importer, the Exporter must be immediately notified, without prejudice to the provisions of item 19.1.

23.2. Upon receiving the communication referred to in item 23.1 or verifying non-compliance with these Clauses by the Importer, the Exporter shall take the pertinent measures to ensure the protection of the Data Subjects' rights and the conformity of the International Data Transfer with the National Legislation and these Clauses, and may, as appropriate:

a) suspend the International Data Transfer;

b) request the return of the Personal Data, its transfer to a third party, or its deletion; and

c) terminate the contract.

CLAUSE 24. Choice of forum and jurisdiction

24.1. Brazilian law applies to these Clauses, and any dispute between the Parties arising from these Clauses shall be resolved before the competent courts of Brazil, observing, if applicable, the forum chosen by the Parties in Section IV.

24.2. Data Subjects may bring legal actions against the Exporter or the Importer, at their choice, before the competent courts in Brazil, including those located in their place of residence.

24.3. By mutual agreement, the Parties may resort to arbitration to resolve conflicts arising from these Clauses, provided it is carried out in Brazil and in accordance with the provisions of the Arbitration Law.

Section III - Security Measures

CLAUSE 25. Security Measures adopted by the Parties

25.1. Security measures adopted by the Exporter:

The Exporter has implemented and maintains appropriate technical and organizational measures to prevent the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to Personal Data.

The following are some of the measures adopted:

• Governance and internal process supervision measures:

1. Asset, identity, and access control management, based on the principles of least privilege (PoLP) and segregation of duties.

2. Information classification and handling with labeling of documents and data according to their level of sensitivity and confidentiality.

3. Continuous awareness and training programs, ensuring that employees fulfill their security and privacy responsibilities.

4. Periodic reviews and audits, ensuring supervision of the effectiveness of controls and compliance with regulatory requirements.

• Technical and administrative security measures implemented on asset segments according to the company's strategic decision:

1. Use of tools such as Firewalls and IDS/IPS.

2. Implementation of regular backups, including immutable backups to prevent improper alterations or deletions.

3. Vulnerability and incident management, with the use of antivirus on assets, continuous monitoring, application of security updates, and incident response procedures.

4. Performance of periodic security tests, including recurring penetration tests (Pentest) and the use of threat intelligence, aiming for the continuous improvement of cyber resilience.

Such measures are regularly reviewed and improved, in line with market best practices and legal and regulatory requirements.