Adenda ao Tratamento de Dados (DPA) para Organizadores

• Visão geral e definições.

• 1. Aplicabilidade da DPA e âmbito das atividades de tratamento de dados.

• 2. Cláusulas referentes ao tratamento de dados.

• 3. Transferências internacionais de dados.

Visão geral e definições.

Os termos desta Adenda ao Tratamento de Dados (DPA) são pelo presente incorporados nos Termos de Serviço, na Política de Privacidade do Eventbrite ou em qualquer outro contrato de serviços aplicável entre si e o Eventbrite (o “Contrato”).

No que se refere às disposições relativas ao Tratamento de Dados Pessoais, em caso de conflito entre o Contrato e esta DPA, as disposições desta última têm precedência. Na eventualidade de um conflito entre esta DPA e qualquer outra disposição do Contrato entre si e nós, esta DPA tem precedência, exceto nos casos em que o Organizador e o Eventbrite tenham negociado individualmente termos de tratamento de dados diferentes do previsto nesta DPA e que cumpram na íntegra os requisitos das Leis de Proteção de Dados aplicáveis, sendo que tais termos negociados terão precedência.

"CCPA" refere-se à Lei de privacidade do consumidor da Califórnia (conforme alterada pela Lei de direitos de privacidade da Califórnia) e regulamentos associados.

"Leis de Proteção de Dados" significa todas as leis ou regulamentos aplicáveis relacionados com a privacidade, confidencialidade e segurança dos Dados Pessoais.

"Empresa," "Responsável pelo Tratamento de Dados," "Encarregado da Proteção de Dados," "Titular dos Dados," "Tratamento," "Dados Pessoais," e "Prestador de Serviços" terão os significados que lhes são atribuídos nas Leis de Proteção de Dados aplicáveis.

"Violação da Segurança dos Dados" significa uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso não autorizado a Dados Pessoais tratados pela Eventbrite em nome do Organizador como parte da utilização dos Serviços pelo Organizador.

"Novas CCP da UE" significa as cláusulas contratuais padrão emitidas no âmbito da Decisão de Implementação da Comissão Europeia (UE) n.º 2021/914 de 4 de junho de 2021 sobre as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros em conformidade com o Regulamento (UE) n.º 2016/679 do Parlamento Europeu e do Conselho Europeu.

"Serviços" significa qualquer serviço prestado pelo Eventbrite ao Organizador, conforme definido nos Termos de Serviço do Eventbrite referente a qualquer outro contrato de serviços aplicável entre o Organizador e a Eventbrite.

"Medidas Técnicas e Organizacionais de Segurança" significam medidas de segurança razoáveis implementadas pelo Eventbrite adequadas ao tipo de Dados Pessoais que estão a ser tratados em nome do Organizador, assim como aos Serviços que estão a ser prestados pelo Eventbrite para proteger Dados Pessoais contra um Tratamento não autorizado ou ilegal e contra perda acidental, destruição, danos, alteração ou divulgação.

"Adenda às CCP do Reino Unido" significa a Adenda de Transferência Internacional de Dados do Reino Unido às cláusulas contratuais padrão da Comissão Europeia relativamente às transferências internacionais de dados, versão B1.0., emitida pelo Comissário de Informações do Reino Unido, ao abrigo da Secção 119A da Lei de Proteção de Dados do Reino Unido de 2018 e que entrou em vigor em 21 de março de 2022, conforme atualizada, alterada ou substituída periodicamente.

1. Aplicabilidade da DPA e âmbito das atividades de tratamento de dados.

1.1 Ao utilizar os Serviços do Eventbrite, o Organizador atua como uma Empresa e é o Responsável pelo Tratamento dos Dados Pessoais associados a um indivíduo que utiliza os Serviços do Eventbrite ou em cujo nome um indivíduo utiliza os Serviços do Eventbrite, (a) para se registar ou comprar bilhetes para participar no evento de tal Organizador, ou (b) para subscrever as comunicações de marketing do Organizador ("Consumidor"). O Organizador declara e garante que forneceu todas as notificações necessárias e, se necessário, que obteve quaisquer consentimentos necessários relacionados com a recolha de tais Dados Pessoais do Consumidor e que o Organizador tem o direito de partilhar tais Dados Pessoais com a Eventbrite.

1.2 Quando a Eventbrite processa os Dados Pessoais dos Consumidores em nome do Organizador como parte dos Serviços, a Eventbrite é um Processador de Dados ou Prestador de Serviços na realização de tal processamento e o Organizador é o Controlador de Dados ou Empresa. Isto inclui as circunstâncias nas quais o Eventbrite obtém Dados Pessoais como resultado da prestação dos seus serviços de emissão de bilhetes (por exemplo, quando o Eventbrite disponibiliza a transmissão de e-mails para os Consumidores a pedido dos Organizadores, ou processa pagamentos ou fornece ferramentas e relatórios de eventos aos Organizadores, para que estes tenham um entendimento claro da eficiência dos diversos canais de vendas).

Em relação a determinado tratamento de Dados Pessoais dos Consumidores, o Eventbrite pode atuar como Responsável pelo Tratamento de Dados ou Empresa, por exemplo, quando os Consumidores se envolveram com aspetos das Aplicações do Eventbrite para além daqueles relacionados com o evento do Organizador ou onde os Dados Pessoais dos Consumidores são tratados pelo Eventbrite para realizar pesquisas e análise e assim permitir que o Eventbrite melhore os respetivos produtos e funcionalidades e forneça recomendações direcionadas. No que diz respeito a tal tratamento, o Eventbrite é um Responsável pelo Tratamento de Dados independente e não um Responsável pelo Tratamento de Dados conjunto com o Organizador.

Na medida em que a Eventbrite processa os Dados Pessoais na qualidade de Processador de Dados ou Prestador de Serviços em nome do Organizador, é aplicável a Secção 2 desta DPA. Contudo, quando a Eventbrite atua como Controlador de Dados dos Dados pessoais dos Consumidores, o processamento da Eventbrite não estará sujeito a esta DPA.

1.3 Os detalhes sobre os Dados Pessoais que serão processados pelo Eventbrite e as atividades de processamento para executar no âmbito do Contrato são os seguintes: (i) duração – conforme estipulado no Contrato; (ii) natureza, objetivo e assunto – para permitir que o Organizador organize e promova eventos e faça a gestão de bilhetes utilizando os Serviços do Eventbrite; (iii) categorias de dados – nome, endereço de e-mail, informações de pagamento e faturação, informações relacionadas com eventos agendados e com participação efetiva, relação com o Organizador e quaisquer outros Dados Pessoais que o Organizador solicite aos Consumidores; (iv) sujeitos dos dados – Consumidores.

2. Cláusulas referentes ao tratamento de dados.

2.1 Sempre que o Eventbrite processar Dados Pessoais em nome do Organizador, o Eventbrite deve:

2.1.1 Processar os Dados Pessoais apenas segundo as instruções documentadas do Organizador, a menos que seja exigido outro procedimento pela lei aplicável. O Eventbrite deve informar o Organizador sobre os requisitos legais antes de tratar Dados Pessoais noutros moldes que não os previstos nas instruções do Organizador, a menos que a mesma lei proíba que o Eventbrite o faça por motivos importantes de interesse público. O Organizador garantirá que as respetivas instruções estejam em conformidade com todas as leis, regulamentos e regras aplicáveis aos Dados Pessoais, e que o tratamento de tais Dados Pessoais por parte do Eventbrite não fará com que o Eventbrite viole qualquer lei, regulamento ou regra aplicável, incluindo as Leis de Proteção de Dados. O Eventbrite notificará o Organizador se, na sua opinião, uma instrução violar as Leis de Proteção de Dados aplicáveis. O Organizador instrui por este meio o Eventbrite a fazer o tratamento de Dados Pessoais, e o Eventbrite aceita fazê-lo, conforme necessário para executar as obrigações do Eventbrite nos termos do Contrato e sem outra finalidade, a menos que especificado de outra forma nesta DPA ou exigido para cumprir a lei ou outra ordem governamental vinculativa. Caso esta DPA ou quaisquer ações a serem tomadas ou contempladas na execução desta DPA não cumpram ou não satisfaçam as obrigações de qualquer das partes ao abrigo da Lei de Proteção de Dados aplicável, as partes negociarão de boa-fé sobre uma emenda adequada a esta DPA;

2.1.2 Cumprir todas as disposições aplicáveis das Leis de Proteção de Dados e proporcionar o mesmo nível de proteção aos Dados Pessoais que é exigido ao Organizador de acordo com as Leis de Proteção de Dados.O Eventbrite tratará os Dados Pessoais, apenas conforme necessário para cumprir as obrigações do Eventbrite ao abrigo do Contrato, ou conforme de outra forma for permitido pelas Leis de Proteção de Dados. Sem limitação do precedente, o Evenbrite não irá (i) “vender” nem “partilhar” os Dados Pessoais, da forma que tais termos são definidos na CCPA; (ii) o Eventbrite não irá conservar, utilizar nem divulgar tais dados fora da relação comercial direta entre o Organizador e o Eventbrite, a menos que tal seja permitido pelas Leis de Proteção de Dados, ou (iii) conservar, utilizar ou divulgar Dados Pessoais para qualquer finalidade que não as finalidades comerciais especificadas nesta DPA ou, de outro modo, permitidas pelas Leis de Proteção de Dados.  O Eventbrite cumprirá quaisquer restrições aplicáveis ao abrigo das leis de proteção de dados ao combinar dados pessoais com dados pessoais que o Eventbrite receba de outra pessoa ou pessoas, ou em nome destas, ou que o Eventbrite recolha através de qualquer interação entre a plataforma e qualquer indivíduo.

2.1.3 Ter em vigor Medidas Técnicas e Organizacionais de Segurança que incluem, mas não se limitam a, as medidas descritas aqui: https://www.eventbrite.com/security/ ;

2.1.4 Notificar o Organizador em caso de violação de segurança de dados sem demora injustificada, a menos que proibido de outra forma por lei ou instruído por uma autoridade responsável pela aplicação da lei ou de proteção de dados. Em caso de qualquer Violação de Segurança de Dados, o Eventbrite, a seu exclusivo critério, pode notificar diretamente os titulares de dados afetados sobre a violação de dados. Sempre que o Eventbrite não forneça tal notificação, o Eventbrite deve prestar assistência razoável, quando exigido pelas Leis de Proteção de Dados aplicáveis e a pedido do Organizador, para permitir que o Organizador cumpra as respetivas obrigações de violação de dados como Controlador de Dados ou Empresa;

2.1.5 Assegurar que os seus funcionários estejam sujeitos a obrigações vinculativas de confidencialidade em relação aos Dados Pessoais dos Consumidores processados pela Eventbrite em nome do Organizador;

2.1.6 Impor obrigações aos seus subprocessadores que tenham acesso aos Dados Pessoais dos Consumidores processados pelo Eventbrite em nome do Organizador que sejam iguais ou equivalentes aos estipulados nesta Secção 2 na forma de contrato escrito, e que permaneçam totalmente responsáveis perante o Organizador por qualquer falha por um subprocessador no cumprimento das suas obrigações em relação a tais Dados Pessoais;

2.1.7 Fornecer assistência na medida do razoável ao Organizador para responder a solicitações de direitos individuais ou outras comunicações recebidas no âmbito das Leis de Proteção de Dados aplicáveis de qualquer autoridade de proteção de dados ou Consumidor aplicável que seja o sujeito de quaisquer Dados Pessoais processados pelo Eventbrite em nome do Organizador. Na eventualidade de um Consumidor enviar um pedido de eliminação de Dados Pessoais ao Eventbrite, o Organizador instrui e autoriza por este meio o Eventbrite a eliminar ou anonimizar os Dados Pessoais do Consumidor em nome do Organizador.  Sempre que necessário, o Organizador deverá informar o Eventbrite de qualquer outro pedido de direitos individuais que o Eventbrite tenha de cumprir e fornecer as informações necessárias para que o Eventbrite cumpra tal pedido.

2.1.8 Mediante o pedido por escrito do Organizador, disponibilizar ao Organizador todas as informações razoavelmente necessárias para demonstrar a sua conformidade com as obrigações estipuladas nesta Secção 2, prestar assistência razoável com avaliações de impacto sobre a privacidade e proteção de dados e consultas relacionadas das autoridades de proteção de dados e permitir e cooperar com quaisquer auditorias. Todas as auditorias devem ser: (i) permitidas apenas mediante aviso antecipado razoável ao Eventbrite; (ii) sujeitas a procedimentos de confidencialidade adequados; e (iii) limitadas a uma ocorrência a cada três (3) anos, e apenas de modo a avaliar uma suspeita de deficiência específica após esgotar todos os restantes meios razoáveis; e

2.1.9 Exceto no caso dos Dados Pessoais relativamente aos quais o Eventbrite atua como Controlador de Dados ou Empresa, devolver, eliminar ou destrua (à escolha do Organizador) os Dados Pessoais processados dos Consumidores em nome do Organizador e respetivas cópias, a pedido do Organizador (a menos que a lei aplicável exija o armazenamento de tais Dados Pessoais).

2.2 O Organizador consente e autoriza o Eventbrite a divulgar ou transferir Dados Pessoais para, ou permitir o acesso a Dados Pessoais por subprocessadores atuais da Eventbrite (ou seja, aqueles listados no website do Eventbrite na Data de Efetivação desta DPA ou do Contrato, o que for posterior) ("Sub-Processadores Atuais") para processar Dados Pessoais em nome do Organizador.

2.3 O Organizador concorda que o Eventbrite nomeie subprocessadores adicionais e de substituição ("Subprocessadores de Substituição") para processar Dados Pessoais em nome do Organizador. O Eventbrite avisará com antecedência o Organizador quanto à identidade dos Subcontratantes de substituição (i) por e-mail, nos casos em que o Organizador tenha optado por receber tais notificações por e-mail e (ii) ao atualizar o site do Eventbrite (o Organizador é responsável por verificar e analisar regularmente o site do Eventbrite quanto a tais alterações).Os Organizadores interessados em receber o aviso por e-mail sobre os Subcontratantes de substituição têm de aceitar receber tais e-mails e subscrevê-los utilizando este formulário  (o Organizador é o único responsável por garantir que as respetivas informações de contacto permanecem exatas). O Eventbrite também dará ao Organizador a oportunidade de se opor a tais alterações que ocorram depois da Data de entrada em vigor do Contrato, de acordo com os termos que se seguem na Secção 2.4 desta DPA.

Para evitar dúvidas, todos os direitos de rescisão aqui disponíveis aplicam-se apenas no caso de haver objeções aos Subprocessadores de Substituição nomeados após a Data de Efetivação desta DPA que não sejam resolvidas de acordo com os termos aqui descritos, e não são aplicáveis em relação aos Subprocessadores Atuais.

2.4 O Organizador deve manifestar qualquer objeção à nomeação de Subprocessadores de Substituição no prazo de dez (10) dias após o Eventbrite publicar as alterações no seu website. O Organizador deve enviar a sua objeção para privacy@eventbrite.com com a linha de assunto “Objeção ao Subcontratante de substituição”.

Desde que a objeção do Organizador: (i) diga respeito à capacidade do Subcontratante de substituição de permitir que o Eventbrite cumpra materialmente as suas obrigações de proteção de dados ao abrigo desta DPA; e (ii) inclua detalhes suficientes para fundamentar a sua objeção e forneça exemplos específicos, o Eventbrite envidará esforços comercialmente razoáveis para avaliar e responder à objeção do Organizador no prazo de trinta (30) dias após a receção da objeção do Organizador com o método de acomodação determinado pelo Eventbrite.

Se o Eventbrite determinar, a seu critério exclusivo, que não pode acomodar razoavelmente a objeção do Organizador, após a notificação do Eventbrite, o Organizador pode optar por rescindir o Contrato, mediante notificação por escrito ao Eventbrite e cumprindo os termos aqui descritos, que será a única e exclusiva solução do Organizador. Sem limitar a generalidade do exposto, o direito de rescisão do Organizador de acordo com esta Secção 2.4 será considerado um direito de rescisão adicional do Organizador ao abrigo da Secção "Prazo e rescisão" do Contrato (se aplicável) e, se exercido, será considerado como uma rescisão em conformidade com tal Secção. Esta notificação por escrito tem de ser enviada para legal@eventbrite.com e indicar especificamente esta Secção 2.4 da DPA. O dia em que o Eventbrite receber o aviso de rescisão do Organizador ao abrigo desta Secção 2.4 será referido como a "Data de Objeção" nesta DPA. Caso o Organizador opte por rescindir o Contrato em resultado de um Subcontratante de substituição, nada nesta Secção 2 isentará o Organizador de qualquer uma das suas obrigações de pagamento e/ou reembolso para com o Eventbrite nos termos do Contrato.

Sem limitação dos outros direitos e recursos do Eventbrite, se o Organizador rescindir o Contrato em conformidade com esta Secção 2.4, o Organizador pagará de imediato ao Eventbrite (1) todos os montantes acumulados e devidos ao Eventbrite, incluindo, sem limitação, obrigações a pagar e/ou reembolsos ao Eventbrite por Taxas, Pagamentos de Patrocínios, Adiantamentos e/ou pagamentos adiantados de Taxas de registo de eventos, conforme esses termos estejam definidos no Contrato e apenas na medida aplicável ao Organizador, (2) se o Contrato incluir um número mínimo de bilhetes que o Organizador tem de vender, um montante mínimo de Taxas de registo em eventos ou Taxas de serviço do Eventbrite que têm de ser tratadas (cada limite de tratamento ou vendas, o "Limite mínimo"), e/ou o requisito de pagar ao Eventbrite a parte das Taxas de serviço do Eventbrite que seriam recebidas caso fosse cumprido o Limite mínimo, então o Organizador concorda em pagar ao Eventbrite um montante equivalente ao (x) montante que o Eventbrite receberia em Taxas de serviço se tivesse sido cumprido o Limite mínimo em cada ano do período contratual até à data da rescisão (sendo esse Limite mínimo calculado proporcionalmente em relação ao ano parcial do Prazo), menos (y) o montante que o Eventbrite efetivamente recebeu em Taxas de serviço atribuíveis às vendas do Organizador durante o Prazo até à data de rescisão, e (3) 80% das Taxas previstas que o Eventbrite receberia durante o Prazo restante se o Contrato não tivesse sido rescindido, relativamente a (x) eventos à venda no Site a contar da Data da Objeção, e (y) quaisquer eventos futuros contemplados ao abrigo do Contrato destinados a ocorrer no prazo de noventa (90) dias após a Data da Objeção.

2.5 O Eventbrite certifica pelo presente que compreende as restrições e as obrigações definidas nesta DPA e que irá cumpri-las. O Eventbrite irá notificar o Organizador se o Eventbrite determinar que já não consegue cumprir as respetivas obrigações ao abrigo das Leis de Proteção de Dados.

2.6 O Organizador terá o direito, após aviso com catorze (14) dias úteis de antecedência, de tomar medidas razoáveis e apropriadas para interromper e remediar qualquer utilização não autorizada de Dados Pessoais por parte do Eventbrite.

3. Transferências internacionais de dados.

3.1 O Organizador concorda que o Eventbrite poderá transferir Dados Pessoais dos Consumidores para diversos locais no âmbito da prestação dos Serviços. As transferências serão feitas de acordo com mecanismos de transferência legalmente aplicáveis, quando exigido pelas Leis de Proteção de Dados aplicáveis. O mecanismo de transferência exclusivo do Eventbrite de dados exportados do Espaço Económico Europeu, Reino Unido e Suíça é a utilização das Cláusulas contratuais padrão , que foram assinadas previamente pelo Eventbrite para os registos de conformidade do Organizador. Para fazer transferências do Reino Unido, o Eventbrite também incorporou a Adenda do Reino Unido às CCP na secção 3.2 desta DPA.

3.2 Transferências do Reino Unido. Quanto aos Dados Pessoais do Eventbrite transferidos a partir do Reino Unido, em relação aos quais a legislação do Reino Unido (e não a legislação de qualquer jurisdição do Espaço Económico Europeu) rege a natureza internacional da transferência, a Adenda do Reino Unido às CCP faz parte desta DPA e tem precedência sobre o restante texto desta DPA, conforme determinado na Adenda do Reino Unido às CCP, salvo se o Reino Unido emitir atualizações à Adenda do Reino Unido às CCP, sendo que nesse caso a Adenda do Reino Unido às CCP atualizada tem precedência. Os termos com inicial maiúscula não definidos utilizados nesta disposição terão as definições constantes na Adenda do Reino Unido às CCP. Pela presente, o Organizador concorda em participar na Adenda do Reino Unido às CCP, que é incorporada nesta DPA por esta referência e concluída da seguinte forma:

1. Na Tabela 1, os dados das Partes serão os das Partes conforme estabelecido no Anexo I das Novas CCP da UE , conforme executado pelas Partes no âmbito desta DPA.

2. Na Tabela 2, as CCP da UE aprovadas serão as Novas CCP da UE , conforme executadas pelas Partes em conformidade com a presente DPA.

3. Na Tabela 3, o Anexo 1A e o Anexo 1B serão conforme estabelecido no Anexo I das Novas CCP da UE , conforme executado pelas Partes no âmbito desta DPA.

4. A Tabela 3, Anexo II será conforme estabelecido no Anexo II das Novas CCP da UE , conforme executado pelas Partes no âmbito desta DPA.

5. Na Tabela 4, qualquer das Partes pode rescindir a presente DPA, conforme estipulado na Secção 19 da Adenda do Reino Unido às CCP.

3.3. Transferências da Suíça. Quanto aos Dados Pessoais transferidos a partir da Suíça, em relação aos quais a legislação da Suíça (e não a legislação de qualquer jurisdição do Espaço Económico Europeu) rege a natureza internacional da transferência, (i) as referências ao RGPD na Cláusula 4 das Novas CCP da UE são, na medida do legalmente exigido, alteradas para fazer referência à Lei de Proteção de Dados Federais da Suíça, ou da lei que lhe suceder, e o conceito de autoridade supervisora deverá incluir o Comissário de Informações e Proteção de Dados Federais da Suíça; e (ii) dessa forma alteradas, as Novas CCP da UE são incorporadas no presente documento para referência e deverão aplicar-se, fazer parte desta DPA e ter precedência sobre o resto desta DPA no que diz respeito ao conflito.

3.4.Transferências do EEE. Em relação aos Dados Pessoais transferidos do Espaço Económico Europeu, as Novas CCP da UE  incorporadas no presente documento deverão aplicar-se e fazer parte desta DPA. No caso de um conflito entre qualquer disposição das Novas CCP da União Europeia e qualquer disposição desta DPA, as Novas CCP da União Europeia terão prevalência no que diz respeito aos conflitos.