Aditamento de Proteção de Dados
Last material update: 22 April 2024
1. Introdução
1.1 Esta Adenda relativa à Proteção de Dados (“APD”) faz parte e está sujeita aos termos do Acordo que: (a) é celebrado entre uma entidade do grupo Teya (“Teya”) e um comerciante (o “Comerciante”); e (b) que se refere a esta APD (designado como o “Acordo”).
1.2 Esta APD governa o “Processamento de Dados Pessoais das Partes relacionado com o Acordo. Isto inclui o Processamento dos Dados Pessoais das Partes relacionado com os titulares de cartões, com as transações ou de outra forma relacionados com o pessoal de cada uma das partes cujos dados foram recolhidos ou partilhados no âmbito do Acordo.
2. Definições e Interpretação
2.1 Os termos com maiúscula utilizados nesta APD terão, a menos que expressamente declarado de outra forma, o significado que lhes é dado no Acordo. As regras de interpretação definidas no Acordo serão aplicadas à presente APD.
2.2 Se alguma disposição desta APD entrar em conflito com os outros termos do Acordo, esta APD prevalecerá. Se alguma disposição desta APD entrar em conflito com quaisquer Normas do Esquema de Cartões ou Formulários de Solicitação do Comerciante aplicáveis, prevalecerão as Normas do Esquema de Cartões ou os Formulários de Solicitação do Comerciante.
2.3 Na presente APD, os seguintes termos terão os significados correspondentes:
2.3.1 “Legislação de Proteção de Dados” refere-se a qualquer lei, estatuto, declaração, decreto, diretiva, ato legislativo, despacho, portaria, regulamento, regra ou outra restrição vinculativa (conforme foi alterada, consolidada ou decretada novamente e periodicamente) relacionada com a proteção das pessoas no que diz respeito ao processamento de dados pessoais a que cada uma das partes está sujeita, incluindo o Regulamento de Privacidade e Comunicações Eletrónicas de 2003 (conforme foi alterado pela Alínea n.º 6 do Instrumento Estatutário de 2011), a Lei de Proteção de Dados do Reino Unido de 2018, o RGPD da UE e o RGPD do Reino Unido;
2.3.2 Os conceitos “Controlador”, “Titular dos Dados”, “Dados Pessoais”, “Violação de Dados Pessoais”, “Processador”, “Processamento” e “Autoridade Supervisora” deverão ter os significados definidos na Legislação de Proteção de Dados (os conceitos “Processo” e “Processado” deverão ser interpretados em conformidade);
2.3.3 “Pedido do Titular dos Dados” significa um pedido, notificação ou reclamação real ou suposto de (ou em nome de) um Titular dos Dados que exerça os seus direitos ao abrigo da Legislação de Proteção de Dados;
2.3.4 “RGPD da UE” refere-se ao Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016 relativo à proteção das pessoas singulares no que diz respeito ao processamento de dados pessoais e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre Proteção de Dados) JO L 119/1, 4.5.2016;
2.3.5 “ICO” refere-se ao Gabinete do Comissário de Informação do Reino Unido ou a qualquer organismo que lhe suceda ou que o substitua;
2.3.6 “Impacto Material” significa um efeito materialmente prejudicial sobre a: (a) Reputação de uma parte ou de quaisquer membros do respetivo grupo consoante o caso; ou a (b) Relação de uma parte com o Titular dos Dados; que em cada caso poderia resultar razoavelmente em: (i) ação de execução ameaçada ou real (independentemente de esta ser formal ou informal) por qualquer Autoridade Supervisora ou pelo ICO por uma violação da Legislação de Proteção de Dados; ou (ii) uma reclamação potencial ou real por parte de um Titular dos Dados ou de um terceiro (seja por violação do contrato, negligência ou qualquer outro ato ilícito ao abrigo do estatuto ou outro regulamento);
2.3.7 “Correspondência da Autoridade Supervisora” significa qualquer correspondência ou comunicação (seja escrita ou verbal) de uma Autoridade de Supervisão ou do ICO relativamente ao Processamento de Dados Pessoais relacionado com o Acordo;
2.3.8 “Requisitos de Segurança” refere-se aos requisitos relativos à segurança dos Dados Pessoais, tal como estabelecido na Legislação de Proteção de Dados, incluindo, em particular as medidas estabelecidas no Artigo 32(1) do RGPD da UE e do RGPD do Reino Unido (conforme aplicável) (tendo em devida conta as questões descritas no Artigo 32 (2) do RGPD da UE e do RGPD do Reino Unido, conforme aplicável); e
2.3.9 “RGPD do Reino Unido” refere-se ao RGPD da UE conforme foi alterado de acordo com os Regulamentos de Proteção de Dados, Privacidade e Comunicações Eletrónicas (Alterações, etc.) (Saída da UE) de 2019 (conforme foi alterado pelo Instrumento Estatutário 2020, n.º 1586) e incorporado na legislação do Reino Unido ao abrigo Lei (de Saída) do Reino Unido da União Europeia de 2018.
3. Papéis das partes
3.1 As partes preveem que, relativamente ao Processamento de Dados Pessoais relacionados com o Acordo, cada parte agirá como Controladora Independente dos Dados Pessoais.
3.2 Nenhuma das partes antecipa que possam agir como Controladoras Conjuntas dos Dados Pessoais, nem que nenhuma das partes nomeie a outra para agir como sua Processadora para efeitos do Processamento realizado em relação com o Acordo.
4. Proteção de Dados
4.1 Relativamente ao seu Processamento de Dados Pessoais em ligação com o Acordo, cada parte deverá:
4.1.1 Cumprir com as respetivas obrigações ao abrigo da Legislação de Proteção de Dados;
4.1.2 Emitir os seus próprios avisos de processamento justo para que sejam transparentes relativamente ao Processamento dos seus Dados Pessoais;
4.1.3 Implementar e manter medidas técnicas e organizacionais adequadas e suficientes para cumprir os Requisitos de Segurança;
4.1.4 Tomar medidas razoáveis para garantir a confiabilidade de qualquer colaborador que deva ter acesso aos Dados Pessoais e assegurar que cada colaborador com acesso aos Dados Pessoais tenha celebrado compromissos adequados de confidencialidade contratualmente vinculativos;
4.1.5 Cooperar com a outra parte para a apoiar nas suas obrigações de comunicação em caso de violação da Legislação da Proteção de Dados relativamente ao Acordo;
4.1.6 Notificar a outra parte de quaisquer Violações de Dados Pessoais que possam ter ocorrido em ligação com o Acordo, sem demoras injustificadas após tomar conhecimento das mesmas; e
4.1.7 Notificar a outra parte imediatamente após a receção de algum Pedido do Titular dos Dados ou de Correspondência da Autoridade Supervisora que essa parte acredite, estar a agir de forma razoável e que possa ter Impacto Material na outra parte.
1. Introduction
1.1 This Data Protection Addendum (this “DPA”) forms part of and is subject to the terms of the agreement which: (a) is entered into between a Teya group entity (“Teya”) and a merchant (the “Merchant”); and (b) refers to this DPA (the “Agreement”).
1.2 This DPA governs the parties’ Processing of Personal Data in connection with the Agreement. This includes the parties’ Processing of Personal Data relating to cardholders, to a transaction or otherwise relating to the personnel of each of the parties collected or shared in connection with the Agreement.
2. Definitions and Interpretation
2.1The capitalised terms used in this DPA shall, unless expressly stated otherwise, have the meaning given to them in the Agreement. The rules of interpretation set out in the Agreement will apply to this DPA.
2.2 Should any provision of this DPA conflict with the other terms of the Agreement, this DPA shall prevail. Should any provision of this DPA conflict with any applicable Card Scheme Standards or Merchant Application Form, the Card Scheme Standards or Merchant Application Form shall prevail.
2.3 In this DPA, the following terms shall have the following meanings:
2.3.1 “Data Protection Legislation” means any law, statute, declaration, decree, directive, legislative enactment, order, ordinance, regulation, rule or other binding restriction (as amended, consolidated or re-enacted from time to time) which relates to the protection of individuals with regards to the processing of personal data to which a party is subject, including the Privacy and Electronic Communications Regulations 2003 (as amended by SI 2011 no. 6), the UK Data Protection Act 2018, the EU GDPR and the UK GDPR;
2.3.2 “Controller”, “Data Subject”, “Personal Data”, “Personal Data Breach”, “Processor”, “Processing” and “Supervisory Authority” shall have the meanings set out in the Data Protection Legislation (and “Process” and “Processed” shall be construed accordingly);
2.3.3 “Data Subject Request” means an actual or purported request or notice or complaint from (or on behalf of) a Data Subject exercising his rights under the Data Protection Legislation;
2.3.4 “EU GDPR” means Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and repealing Directive 95/46/EC (General Data Protection Regulation) OJ L 119/1, 4.5.2016;
2.3.5 “ICO” means the UK Information Commissioner’s Office or any successor body which replaces it;
2.3.6 “Material Impact” means a materially detrimental effect on: (a) the reputation of a party or any members of its group, as appropriate; or (b) a party's relationship with the Data Subject; which, in each case could reasonably result in: (i) threatened or actual enforcement action (whether formal or informal) by any Supervisory Authority or the ICO for an infringement of the Data Protection Legislation; or (ii) a prospective or actual claim by a Data Subject or third party (whether for breach of contract, negligence or any other tort, under statute or otherwise);
2.3.7 “Supervisory Authority Correspondence” means any correspondence or communication (whether written or verbal) from a Supervisory Authority or the ICO in relation to the Processing of Personal Data in connection with the Agreement;
2.3.8 “Security Requirements” means the requirements regarding the security of the Personal Data, as set out in the Data Protection Legislation including, in particular, the measures set out in Article 32(1) of the EU GDPR and UK GDPR (as applicable) (taking due account of the matters described in Article 32(2) of the EU GDPR and UK GDPR (as applicable)); and
2.3.9 “UK GDPR” means the EU GDPR as amended in accordance with the Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019 (as amended by SI 2020 no. 1586) and incorporated into UK law under the UK European Union (Withdrawal) Act 2018.
3. Roles of the parties
3.1The parties anticipate that, in respect of the Processing of Personal Data in connection with the Agreement, each party will act as an independent Controller of the Personal Data.
3.2 Neither party anticipates that they shall act as joint Controllers of the Personal Data, nor does either party appoint the other to act as its Processor for the purpose of Processing carried out in connection with the Agreement.
4. Data Protection
4.1In respect of its Processing of Personal Data in connection with the Agreement, each party shall:
4.1.1 comply with its respective obligations under the Data Protection Legislation;
4.1.2 issue its own fair processing notices in order to be transparent with regard to its Processing of Personal Data;
4.1.3 implement and maintain appropriate technical and organisational measures sufficient to comply with the Security Requirements;
4.1.4 take reasonable steps to ensure the reliability of any of its personnel who shall have access to the Personal Data and ensure that each member of personnel with access to the Personal Data has entered into appropriate contractually-binding confidentiality undertakings;
4.1.5 cooperate with the other party to assist the other party in its reporting obligations in the event of a breach of the Data Protection Legislation in connection with the Agreement;
4.1.6 notify the other party of any Personal Data Breach which may have occurred in connection with the Agreement without undue delay upon becoming aware of the same; and
4.1.7 notify the other party promptly following its receipt of any Data Subject Request or Supervisory Authority Correspondence which that party believes, acting reasonably, is likely to have a Material Impact on the other party.