Acordo de Tratamento de Dados

Última atualização: 29 de agosto de 2025

1. Sobre este DPA

Este Acordo de Tratamento de Dados (“DPA”) é incorporado por referência ao Master Services Agreement disponível em https://www.simetrik.com/legal/master-services-agreement, ou celebrado entre o Cliente e a Simetrik por meio de um contrato ou Order Form assinado (“Contrato”). Este DPA integra o Contrato e regula o Tratamento de Dados Pessoais pela Simetrik em nome do Cliente.

2. Definições

Os termos em maiúscula que não forem definidos neste DPA terão o significado estabelecido no Contrato. 

3. Papéis das Partes

3.1. As Partes reconhecem e concordam que: 

1. O Cliente atua como Controlador de Dados. O Cliente é exclusivamente responsável por determinar quais Dados Pessoais serão inseridos nos Serviços em Nuvem, como esses dados devem ser tratados e para quais finalidades serão utilizados;
2. O Cliente é responsável por obter todos os consentimentos, licenças e bases legais necessários para permitir que a Simetrik Trate os Dados Pessoais do Cliente;
3. A Simetrik atua unicamente como Operadora de Dados, tratando os Dados Pessoais do Cliente em nome deste, conforme as instruções do Cliente previstas no Contrato, salvo se a lei exigir de outra forma. Quando exigido por lei, a Simetrik informará o Cliente antes de tal Tratamento (a menos que proibido por lei) e informará imediatamente se, em sua opinião, alguma instrução infringir as Leis Aplicáveis; 
4. A Simetrik não venderá nem compartilhará Dados Pessoais do Cliente (conforme “sell/share” definidos na CCPA) e não reterá, usará ou divulgará tais dados para qualquer finalidade diversa da prestação dos Serviços em Nuvem, do cumprimento da lei e do que for permitido pelo Contrato e pelas instruções documentadas do Cliente. 

3.2. Os Serviços em Nuvem são prestados no modelo Software as a Service (SaaS): o Cliente fornece seus próprios dados e, em grande medida, controla o envio e o uso dos Dados do Cliente nos Serviços em Nuvem. A Simetrik não monitora os Dados do Cliente nem o uso que o Cliente faz desses dados, mas poderá acessá-los conforme necessário para prestar os  Serviços em Nuvem, resolver questões de suporte/técnicas, garantir segurança e integridade, ou cumprir a lei. Salvo proibição legal, o acesso ocorrerá mediante solicitação expressa do Cliente ou quando necessário para os fins acima. São responsabilidade e obrigação exclusivas do Cliente assegurar que os Dados do Cliente sejam coletados e transmitidos à Simetrik em conformidade com as Leis Aplicáveis, incluindo possuir base legal para o Tratamento e informar adequadamente os Titulares sobre a coleta e o Tratamento. O Cliente, ao utilizar os Serviços em Nuvem, Tratará os Dados Pessoais conforme as Leis Aplicáveis. 

4. General Personal Data Obligations

4.1. Cada Parte cumprirá suas obrigações sob as Leis Aplicáveis no que diz respeito ao Tratamento de Dados Pessoais.

4.2. Se a Simetrik for legalmente obrigada a Tratar os Dados Pessoais de maneira diversa das instruções do Cliente, informará o Cliente antes do Tratamento, salvo se a lei proibir tal comunicação por motivo relevante de interesse público; nesse caso, notificará o Cliente assim que a lei permitir. 

4.3. Colaboradores e agentes da Simetrik com acesso a Dados Pessoais: (i) estão sujeitos a obrigações de confidencialidade; (ii) tratarão os dados apenas conforme instruções do Cliente, salvo obrigação legal em contrário; e (iii) receberão treinamentos conforme necessário sobre as obrigações da Simetrik neste DPA e nas Leis Aplicáveis. 

4.4. A Simetrik não publicará, divulgará, permitirá acesso de terceiros a Dados Pessoais, exceto conforme o Contrato e este DPA (inclusive para manter/prestar os Serviços em Nuvem e para Suboperadores, conforme este DPA), com consentimento do Cliente, ou conforme necessário para cumprir a lei ou uma ordem vinculante de um órgão governamental (como uma intimação ou ordem judicial). 

4.5. Mediante solicitação do Cliente, a Simetrik fornecerá ao Cliente a cooperação e a assistência razoáveis necessárias para cumprir a obrigação, prevista nas Leis Aplicáveis, de realizar uma avaliação de impacto à proteção de dados (DPIA) relativa ao uso, pelo Cliente, dos Serviços em Nuvem, ou de realizar qualquer consulta prévia junto à Autoridade Competente de Proteção de Dados que seja legalmente exigida em relação a Dados Pessoais, levando em conta a natureza do Tratamento e na medida em que o Cliente não disponha de acesso às informações relevantes, e na medida em que tais informações estejam disponíveis à Simetrik. 

4.6. Mediante solicitação por escrito do Cliente, a Simetrik prestará assistência razoável ao Cliente no caso de investigação por, ou solicitação de, qualquer ente regulador, incluindo uma Autoridade Competente de Proteção de Dados, ou autoridade similar, na medida em que tal investigação ou solicitação se relacione a Dados Pessoais. O Cliente ressarcirá os custos razoáveis e documentados pela assistência que exceda a operação padrão dos Serviços em Nuvem. A Simetrik adotará as medidas razoavelmente solicitadas pelo Cliente para auxiliá-lo no cumprimento de quaisquer obrigações relacionadas a tal investigação ou solicitação. 

5. Suboperadores

5.1. Em razão da natureza em nuvem dos Serviços, a Simetrik engaja Suboperadores para apoiar sua execução. Tais Suboperadores devem assegurar, no mínimo, proteções e salvaguardas consistentes com este DPA. 

5.2. A lista atualizada de Suboperadores é mantida em: https://trust.simetrik.com/.

5.3. A Simetrik poderá nomear novos Suboperadores, desde que notifique o Cliente sobre tal nomeação (incluindo o nome e a localização do Suboperador relevante e as atividades que executará) com pelo menos trinta (30) dias de antecedência ao início da sua atuação, por meio de atualização do site de Suboperadores ou outro aviso por escrito. 

5.4. O Cliente concorda que a Simetrik poderá utilizar Suboperadores para cumprir suas obrigações contratuais sob este DPA ou para prestar certos serviços em seu nome, como serviços de suporte. 

5.5.  O Cliente poderá rescindir os Order Forms aplicáveis apenas em relação aos Serviços em Nuvem que não possam ser fornecidos pela Simetrik sem o uso do novo Suboperador objeto de objeção, mediante aviso escrito à Simetrik; tal rescisão produzirá efeitos ao final do ciclo de faturamento então vigente, conforme previsto no Contrato. 

5.6. Quando a Simetrik contratar um Suboperador para realizar atividades específicas de Tratamento (em nome do Cliente), isso se dará por contrato escrito que preveja obrigações de proteção de dados substancialmente semelhantes às que vinculam a Simetrik sob este DPA, na medida aplicável à natureza dos Serviços em Nuvem prestados por esse Suboperador. A Simetrik leva a sério a privacidade e realiza a devida diligência (due diligence) devida para todos os seus Suboperadores, em conformidade com os padrões de privacidade de suas certificações internacionais. 

6. Transferências Internacionais de Dados

6.1. A Simetrik poderá transferir Dados Pessoais do Cliente para países fora do país de origem, desde que tais transferências estejam em conformidade com as Leis Aplicáveis.

6.2. Quando exigido, tais transferências serão regidas por salvaguardas apropriadas, incluindo as Cláusulas Contratuais Padrão (e, quando aplicável, o aditamento do Reino Unido ou outro mecanismo aprovado).

6.3. As localizações atuais de processamento da Simetrik estão descritas em seu Trust Center (https://trust.simetrik.com/) e podem ser atualizadas periodicamente.

7. Medidas de Segurança

7.1. A Simetrik deverá implementar e manter medidas técnicas e organizacionais apropriadas (“TOMs”) para proteger os Dados Pessoais do Cliente, incluindo:

1. Criptografia em trânsito e em repouso;
2. Controle de acesso baseado em funções;
3. Monitoramento e registro de acesso aos dados;
4. Testes de penetração e avaliações de risco regulares.

7.2. A Simetrik deverá manter as seguintes certificações durante a vigência do Contrato: ISO 27001, ISO 27701, ISO 27018, SOC 1, SOC 2, SOC 3, PCI DSS (ou padrões sucessores/equivalentes).

7.3. A Simetrik poderá implementar medidas adicionais, que ficarão disponíveis no Trust Center da Simetrik (https://trust.simetrik.com/).

8. Direitos dos Titulares dos Dados.

8.1. A Simetrik deverá auxiliar o Cliente a responder a solicitações dos Titulares dos Dados, incluindo acesso, correção, exclusão e portabilidade de dados, conforme exigido pelas Leis Aplicáveis.

8.2. Se a Simetrik receber uma solicitação de um Titular dos Dados diretamente, ela encaminhará a solicitação prontamente ao Cliente, usando os dados de contato fornecidos no Contrato, a menos que seja legalmente proibida de fazê-lo. As solicitações podem ser enviadas via dataprivacy@simetrik.com. A Simetrik apoiará o Cliente, na medida em que for legalmente permitido e tecnicamente viável, no cumprimento de tais solicitações dentro dos prazos exigidos pelas Leis Aplicáveis. Isso pode incluir a recuperação, exclusão ou correção de dados, ou a confirmação de que certos dados estão sendo processados. Se o Titular dos Dados for um usuário dos serviços do Cliente, o Cliente permanece responsável por verificar a identidade do solicitante e determinar a resposta apropriada.

8.3. O Cliente é responsável por responder a uma comunicação de proteção de dados recebida diretamente por ele, usando seu próprio acesso aos Dados Pessoais relevantes. Se o Cliente não conseguir acessar os Dados Pessoais relevantes após esforços razoáveis, a Simetrik, a pedido do Cliente, fornecerá assistência razoável para que o Cliente responda a tal comunicação recebida diretamente, na medida em que a resposta seja exigida pelas Leis Aplicáveis. Na medida em que for legalmente permitido, o Cliente será responsável pelos custos razoáveis e documentados decorrentes da assistência da Simetrik que seja além da operação padrão dos Serviços em Nuvem.

9. Notificação de Violação de Dados 

9.1. A Simetrik deverá notificar o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais.

9.2. A notificação ao Cliente será feita em até setenta e duas (72) horas após a Simetrik tomar conhecimento da Violação de Dados Pessoais e incluirá, na medida em que for conhecido no momento da notificação:

1.  um resumo da natureza da Violação de Dados Pessoais;
2. a data e a hora do incidente ou de sua detecção;
3. as categorias de Dados Pessoais e de Titulares dos Dados afetados;
4. as prováveis consequências da violação;
5. as medidas tomadas ou propostas para mitigar tal violação e prevenir a reincidência;
6. um ponto de contato para informações adicionais.

9.2.1. Se nem todas as informações estiverem disponíveis no momento da notificação inicial, a Simetrik fornecerá atualizações sem demora indevida à medida que novos detalhes se tornarem disponíveis

9.3. A Simetrik cooperará de boa-fé com o Cliente para apoiar qualquer investigação, remediação ou notificação regulatória exigida relacionada a uma Violação de Dados Pessoais.

10. Exclusão e Retorno de Dados Pessoais

10.1. Retorno e Exclusão de Dados Pessoais. Após a rescisão ou expiração do Contrato, a Simetrik, mediante solicitação por escrito do Cliente e sujeita a quaisquer obrigações legais ou regulamentares de retenção, excluirá ou devolverá os Dados Pessoais tratados em nome do Cliente.1

10.2. A Simetrik segue um processo estruturado de exclusão de dados para garantir a remoção segura e rastreável dos Dados do Cliente, incluindo:

a) Solicitação Formal e Validação. A Simetrik exige uma solicitação por escrito do Cliente para iniciar o processo de exclusão de dados. A solicitação é validada pela equipe da Simetrik para confirmar se todas as obrigações contratuais foram cumpridas e se algum dado deve ser devolvido ao Cliente antes da exclusão.

b) Exclusão de Contas e Workspaces. Todas as contas dos Serviços em Nuvem e os workspaces associados criados para o Cliente são excluídos, incluindo todos os Dados Pessoais neles armazenados. Se o Cliente optar por não participar do processo de exclusão, a Simetrik poderá prosseguir com a exclusão após um período de carência definido, caso em que o Cliente será considerado como tendo aceitado o resultado do processo de exclusão.

c) Encerramento de Integrações. A Simetrik desabilitará e excluirá quaisquer fluxos de dados automatizados (integrações) estabelecidos para o Cliente.

d) Exclusão de dados armazenados.

• Bancos de Dados. Os objetos do banco de dados (incluindo usuários e funções) serão excluídos permanentemente em até 15 dias corridos após o encerramento. O processo é registrado e documentado.1
• Armazenamento de objetos. A pasta de workspace do Cliente é excluída, e um instantâneo (snapshot) da exclusão é feito e arquivado como evidência.

e) Evidências e Relatórios.

• A Simetrik mantém registros internos do processo de exclusão, incluindo relatórios de encerramento, evidências de exclusão e logs de auditoria para demonstrar a conformidade.
• Os workspaces são segregados logicamente por cliente e nunca são reutilizados, garantindo uma estrita separação de dados entre clientes.

10.3. Se qualquer Lei Aplicável proibir o retorno ou a exclusão de Dados Pessoais, a Simetrik continuará a garantir a conformidade com este DPA e apenas Tratará Dados Pessoais na medida e pelo tempo exigido pela Lei Aplicável.

10.4. A exclusão de dados ocorrerá prontamente após a data de vigência da rescisão ou mediante solicitação por escrito do Cliente a qualquer momento após a rescisão, sujeita às Seções 10.1–10.3. Para maior clareza, a exclusão não isenta nem afeta quaisquer taxas ou obrigações de pagamento acumuladas sob o Contrato.

11. Auditorias

11.1. A Simetrik utiliza auditores externos para validar a adequação dos seus padrões e controles de segurança. As atividades de auditoria: (i) serão realizadas pelo menos anualmente; (ii) serão realizadas por profissionais de segurança terceirizados independentes, escolhidos e custeados pela Simetrik; e (iii) resultarão na geração de um relatório de auditoria, que será considerado Informação Confidencial da Simetrik.

11.1.1. Mediante solicitação por escrito do Cliente, a Simetrik fornecerá ao Cliente um relatório confidencial que resume os registros estabelecidos na Seção 11.1. acima, para que o Cliente possa verificar razoavelmente a conformidade da Simetrik com suas obrigações sob este DPA.

11.2. O Cliente pode auditar razoavelmente, limitado a uma vez a cada doze (12) meses, a menos que exigido pelas Leis Aplicáveis ou por uma Autoridade Competente de Proteção de Dados, ou após uma Violação de Dados Pessoais material, a conformidade da Simetrik com este DPA (cada uma, uma “Auditoria do Cliente”), sujeita às seguintes condições:

1. Escopo e Assistência. Na medida exigida pelas Leis Aplicáveis, incluindo onde determinado pela Autoridade Competente de Proteção de Dados do Cliente, o Cliente ou a Autoridade Competente de Proteção de Dados do Cliente podem realizar auditorias mais frequentes dos procedimentos relevantes para a proteção dos Dados Pessoais do Cliente. A Simetrik contribuirá para tais Auditorias do Cliente fornecendo ao Cliente ou à Autoridade Competente de Proteção de Dados do Cliente as informações e assistência razoavelmente necessárias para conduzir a Auditoria do Cliente, incluindo quaisquer registros relevantes de atividades de Tratamento aplicáveis aos Serviços em Nuvem.
2. Auditores terceirizados. Se um terceiro for conduzir a Auditoria do Cliente, o terceiro deve ser mutuamente acordado entre o Cliente e a Simetrik (exceto se tal terceiro for uma Autoridade Competente de Proteção de Dados). A Simetrik não reterá injustificadamente seu consentimento a um auditor terceirizado solicitado pelo Cliente. O terceiro deve assinar um acordo de confidencialidade por escrito aceitável para a Simetrik antes de conduzir a Auditoria do Cliente.
3. Plano e aviso prévio. Para solicitar uma Auditoria do Cliente, o Cliente deve enviar um plano de auditoria detalhado proposto à Simetrik com pelo menos quatro (4) semanas de antecedência da data de auditoria proposta. O plano de auditoria proposto deve descrever o escopo, a duração e a data de início propostos da auditoria. A Simetrik revisará o plano de auditoria proposto e fornecerá ao Cliente quaisquer preocupações ou perguntas (por exemplo, qualquer solicitação de informação que possa comprometer as políticas de segurança, privacidade, emprego ou outras políticas relevantes da Simetrik). A Simetrik trabalhará cooperativamente com o Cliente para chegar a um plano de auditoria final. Antes do início de qualquer Auditoria do Cliente, o Cliente e a Simetrik devem concordar mutuamente sobre o escopo, o cronograma e a duração da Auditoria do Cliente.
4. Satisfação por documentação. A Simetrik pode satisfazer solicitações de auditoria fornecendo documentação relevante que demonstre a conformidade com suas obrigações de segurança da informação e privacidade. Esta documentação pode incluir, entre outras, certificações como ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 27018, PCI DSS, bem como relatórios de auditoria SOC 1 Tipo II e SOC 2 Tipo II, que podem ser compartilhados apenas com o Cliente sob um acordo de confidencialidade, e o relatório SOC 3, que é publicamente disponível. No caso de o Cliente considerar necessária uma revisão ou auditoria adicional, a Simetrik estará disposta a revisar, avaliar e coordenar conjuntamente tal solicitação com o Cliente. A Simetrik também pode atender a solicitações razoáveis de questionários de segurança de escopo comercialmente razoável.
5. Forma e restrições. Qualquer Auditoria do Cliente deve ser conduzida durante o horário comercial regular (ou, se uma revisão no local for mutuamente acordada, na instalação aplicável), sujeita ao plano de auditoria final acordado e às políticas de saúde, segurança, proteção ou outras políticas relevantes da Simetrik, e não pode interferir injustificadamente nas atividades ou operações de negócios da Simetrik. Nada nesta Seção exigirá que a Simetrik viole suas obrigações sob a Lei Aplicável ou viole suas obrigações de confidencialidade, segurança ou privacidade para com quaisquer clientes, funcionários ou terceiros. A Simetrik pode restringir o acesso a informações sensíveis e exigir um acordo de confidencialidade específico para a auditoria.
6. Relatórios e confidencialidade. O Cliente fornecerá à Simetrik quaisquer relatórios de auditoria gerados em conexão com qualquer Auditoria do Cliente, a menos que proibido pela Lei Aplicável ou instruído de outra forma por uma Autoridade Competente de Proteção de Dados. O Cliente poderá usar os relatórios de auditoria apenas para fins de cumprir os requisitos regulamentares de auditoria do Cliente e/ou confirmar a conformidade com os requisitos deste DPA. Os relatórios de auditoria são Informações Confidenciais das Partes sob os termos do Contrato.
7. Custos. Quaisquer Auditorias do Cliente são por conta do Cliente. As Partes negociarão de boa-fé em relação a quaisquer encargos ou taxas que possam ser incorridos pela Simetrik para fornecer assistência em uma Auditoria do Cliente que exija o uso de recursos diferentes ou adicionais aos necessários para a prestação dos Serviços em Nuvem. Antes do início de uma Auditoria do Cliente, o Cliente e a Simetrik devem concordar mutuamente sobre a taxa de reembolso pela qual o Cliente será responsável por qualquer tempo despendido para tal Auditoria do Cliente. Todas as taxas de reembolso serão razoáveis, levando em consideração os recursos despendidos pela Simetrik.
8. Remoto por padrão. Todas e quaisquer Auditorias do Cliente serão conduzidas remotamente. As Partes reconhecem que a Simetrik opera em um ambiente totalmente remoto e, consequentemente, todas as auditorias serão realizadas por meios digitais seguros, como reuniões virtuais, plataformas de compartilhamento de documentos e acesso remoto a sistemas relevantes, conforme razoavelmente necessário. Nenhuma auditoria no local será exigida ou imposta, a menos que mutuamente acordado por escrito pelas Partes com antecedência.

12.  Responsabilidade.

12.1. As Partes concordam que a responsabilidade sob este DPA está sujeita às limitações e exclusões de responsabilidade estabelecidas no Contrato.

13.  Disposições Gerais

13.1. Em caso de conflito entre o DPA e o Contrato, o DPA prevalecerá no que diz respeito às questões de proteção de dados.

13.2. Este DPA permanecerá em vigor até, e expirará automaticamente mediante, o retorno ou exclusão de todos os Dados Pessoais pela Simetrik e quaisquer Suboperadores aplicáveis.

13.3. Quaisquer alterações a este DPA devem ser acordadas por escrito.

13.4. Se qualquer disposição deste DPA for considerada inválida ou inexequível por qualquer tribunal ou órgão administrativo de jurisdição competente, a invalidade ou inexequibilidade de tal disposição não afetará qualquer outra disposição deste DPA, e todas as disposições não afetadas por tal invalidade ou inexequibilidade permanecerão em pleno vigor e efeito.

Anexo I: Detalhes do Tratamento de Dados

• Objeto: Prestação de serviços SaaS conforme definido no Contrato.
• Duração: Prazo do Contrato.
• Natureza e Finalidade: Hospedagem, armazenamento, processamento e transferência de dados para a execução dos serviços.
• Categorias de Titulares dos Dados: Funcionários, usuários finais, clientes ou parceiros do Cliente.
• Categorias de Dados Pessoais: Nome, detalhes de contato, credenciais de usuário, dados de uso, dados transacionais e outros dados carregados pelo Cliente.

Anexo II: Medidas Técnicas e Organizacionais  (TOMs)

Anexo III: Lista de Suboperadores

Anexo IV: Cláusulas Contratuais Padrão (Transferências UE e Reino Unido)

Seção A – Cláusulas Contratuais Padrão da UE (2021/914/UE)

Estas Cláusulas se aplicam quando o Cliente está localizado no Espaço Econômico Europeu (EEE) ou está sujeito de outra forma ao GDPR, e transfere Dados Pessoais para a Simetrik, localizada fora do EEE, de acordo com o Artigo 46(2)(c) do GDPR.

As partes concordam em aderir aos seguintes módulos das Cláusulas Contratuais Padrão adotadas pela Comissão Europeia em 4 de junho de 2021:

• Módulo 2: Controlador para Operador
  

As seguintes opções e detalhes se aplicam:

• Cláusula 7 (Cláusula de Adesão): ✓ Incluída
• Cláusula 9 (Suboperador): Opção 2 — Autorização Geral com aviso de 30 dias
• Cláusula 11 (Reparação): ❌ Não incluída (não aplicável para Operadores)
• Cláusula 17 (Lei Aplicável): Leis dos Países Baixos
• Cláusula 18 (Jurisdição): Tribunais de Amesterdã, Países Baixos
  

Os Anexos I, II e III a estas Cláusulas são incorporados por referência a partir do DPA:

• Anexo I: Detalhes da transferência – ver DPA Anexo I
• Anexo II: Medidas Técnicas e Organizacionais – ver DPA Anexo II
• Anexo III: Suboperadores – ver DPA Anexo III
  

Seção B – Aditamento do Reino Unido (Aditamento de Transferência Internacional de Dados às SCCs da UE, Versão B1.0)

Esta seção se aplica se o Cliente estiver sujeito à lei de proteção de dados do Reino Unido e transferir Dados Pessoais para a Simetrik localizada fora do Reino Unido.

As partes concordam em aplicar o Aditamento do Reino Unido às SCCs da UE, conforme emitido pelo Information Commissioner’s Office (ICO) do Reino Unido, com as seguintes especificidades:

• Parte 1 – Tabelas 1 a 4:1
  • Tabela 1 (Partes): Conforme estabelecido no Contrato e neste DPA.1
  • Tabela 2 (SCCs): As SCCs incorporadas acima, Módulo 2.1
  • Tabela 3 (Apêndices): Conforme os Anexos I–III do DPA.1
  • Tabela 4 (Cláusulas Opcionais): “O Importador pode encerrar o Aditamento conforme estabelecido na Seção 19” não está selecionado.1
• Parte 2 – Cláusulas Obrigatórias: As cláusulas obrigatórias do Aditamento do Reino Unido aplicam-se integralmente.