Política de Proteção de Dados

Esta Política de Proteção de Dados estabelece como a Mondeum Capital (UK) Limited (“a Empresa”) trata os dados pessoais de nossos clientes, fornecedores, funcionários, trabalhadores e outros terceiros (“Titulares de Dados”). Somos o controlador de dados de todos os dados pessoais relativos aos Titulares de Dados e os dados pessoais usados em nossos negócios para nossos próprios fins comerciais.

Esta política se aplica a todos os dados pessoais (qualquer informação que identifique um Titular de Dados ou informação relacionada a um Titular de Dados que possamos identificar (direta ou indiretamente) a partir desses dados isoladamente ou em combinação com outros identificadores que possuímos ou podemos acessar razoavelmente) que a Empresa Processa, independentemente da mídia em que esses dados são armazenados ou se se relacionam a funcionários, trabalhadores, clientes, clientes ou contatos de fornecedores, acionistas, usuários do site ou qualquer outro Titular de Dados passados ou presentes.

Esta política se aplica a todos os funcionários, trabalhadores, contratados, trabalhadores de agência, consultores, diretores, membros e outros.

Você deve ler, entender e cumprir esta política ao processar dados pessoais em nome da Empresa e participar de treinamentos sobre seus requisitos. Esta política estabelece o que esperamos de você para que a Empresa cumpra a lei aplicável. Seu cumprimento desta política é obrigatório. Qualquer violação desta política pode resultar em ação disciplinar.

Esta política é um documento interno e não pode ser compartilhada com terceiros, clientes ou reguladores sem autorização prévia do Gerente de Conformidade.

Esta política não faz parte de nenhum contrato de trabalho ou contrato de serviços e podemos alterá-la a qualquer momento sem aviso prévio.

Esta Política não substitui quaisquer leis e regulamentos nacionais de privacidade de dados aplicáveis nos países onde a Empresa opera.

Escopo

Reconhecemos que o tratamento correto e legal de dados pessoais manterá a confiança na organização e proporcionará operações comerciais bem-sucedidas. Proteger a confidencialidade e integridade dos dados pessoais é uma responsabilidade crítica que levamos a sério em todos os momentos. A Empresa está exposta a potenciais multas por não cumprimento das disposições do GDPR.

Todos os níveis de gestão são responsáveis por garantir que você cumpra esta Política e precisam implementar práticas, processos, controles e treinamentos adequados para garantir tal conformidade.

Entre em contato com o Gerente de Conformidade se tiver dúvidas sobre o funcionamento desta política ou o Regulamento Geral de Proteção de Dados ou outras leis de proteção de dados (“GDPR”) ou se tiver preocupações de que esta Política não está sendo ou não foi seguida. Em particular, você deve sempre entrar em contato com o Gerente de Conformidade nas seguintes circunstâncias:

• Se você não tiver certeza da base legal na qual está confiando para processar dados pessoais (incluindo os interesses legítimos usados pela Empresa) (veja a seção Legalidade e justiça abaixo);
• Se você precisar depender de consentimento e/ou precisar capturar consentimento explícito;
• Se você precisar redigir avisos de privacidade (veja a seção sobre Transparência abaixo);
• Se houver uma Violação de dados pessoais (seção sobre Relatar uma violação de dados pessoais abaixo);
• Se você precisar de assistência para lidar com quaisquer direitos invocados por um Titular de Dados (veja a seção sobre Direitos e Solicitações do Titular de Dados);
• sempre que estiver participando de uma atividade de processamento nova significativa ou mudança em atividade de processamento que provavelmente exigirá uma Avaliação de Impacto de Proteção de Dados (“DPIA”) (veja a seção Privacidade por design e DPIAs abaixo) ou planejar usar dados pessoais para fins diferentes do que foram coletados;
• Se precisar de ajuda para cumprir a lei aplicável ao realizar atividades de marketing direto (veja a seção Marketing direto abaixo).

Princípios de proteção de dados pessoais

Aderimos aos princípios relativos ao processo de dados pessoais estabelecidos no GDPR, que estão definidos dentro desta política. Somos responsáveis e devemos ser capazes de demonstrar conformidade com esses princípios.

Os dados pessoais devem ser Processados de forma legal, justa e transparente em relação ao Titular de Dados.

Você só pode coletar, processar e compartilhar dados pessoais de forma justa e legal e para fins específicos. O GDPR restringe nossas ações em relação a dados pessoais a fins legais específicos. Essas restrições não se destinam a impedir o processamento, mas a garantir que processamos dados pessoais de forma justa e sem afetar adversamente o Titular de Dados.

• O GDPR permite o processamento para fins específicos, alguns dos quais estão descritos abaixo:
• o Titular de Dados deu seu consentimento;
• o processamento é necessário para a execução de um contrato com o Titular de Dados;
• para cumprir nossas obrigações de conformidade legal;
• para proteger os interesses vitais do Titular de Dados;
• para perseguir nossos interesses legítimos para fins onde não são superados porque o processamento prejudica os interesses ou direitos e liberdades fundamentais dos Titulares de Dados. Os fins para os quais processamos dados pessoais por interesses legítimos precisam ser estabelecidos nos avisos de privacidade aplicáveis.

Você deve identificar e documentar a base legal sendo invocada para cada atividade de processamento.

Consentimento

Um Controlador de Dados só deve processar dados pessoais com base em uma ou mais das bases legais estabelecidas no GDPR, que incluem o consentimento.

Um Titular de Dados consente com o processamento de seus dados pessoais se indicar concordância claramente por meio de uma declaração ou ação positiva para o processamento. O consentimento requer ação afirmativa, portanto silêncio, caixas pré-marcadas ou inatividade provavelmente não serão suficientes. Se o consentimento for dado em um documento que trate de outros assuntos, então o consentimento deve ser mantido separado desses outros assuntos.

Os Titulares de Dados devem ser facilmente capazes de retirar o consentimento para o processamento a qualquer momento e a retirada deve ser honrada prontamente. O consentimento pode precisar ser renovado se você pretende processar dados pessoais para um propósito diferente e incompatível que não foi divulgado quando o Titular de Dados consentiu pela primeira vez.

A menos que possamos nos basear em outra base legal de processamento, o consentimento explícito é geralmente necessário para processar dados pessoais sensíveis, para tomada de decisão automatizada e para transferências de dados entre fronteiras. Geralmente nos basearemos em outra base legal (e não precisaremos de consentimento explícito) para processar a maioria dos tipos de dados sensíveis. Onde o consentimento explícito (por escrito) for necessário, você deve emitir um aviso de consentimento ao Titular de Dados para capturar consentimento explícito.

Você precisará evidenciar o consentimento capturado e manter registros de todos os consentimentos para que a Empresa possa demonstrar conformidade com os requisitos de consentimento.

Transparência (notificando os titulares de dados)

O GDPR exige que os controladores de dados forneçam informações detalhadas e específicas aos Titulares de Dados, dependendo se as informações foram coletadas diretamente dos Titulares de Dados ou de outro lugar. Tais informações devem ser fornecidas por meio de avisos de privacidade apropriados que devem ser concisos, transparentes, inteligíveis, facilmente acessíveis e em linguagem clara e simples para que um Titular de Dados possa entendê-los facilmente.

Sempre que coletamos dados pessoais diretamente dos Titulares de Dados, incluindo para fins de recursos humanos ou emprego, devemos fornecer ao Titular de Dados todas as informações exigidas pelo GDPR, incluindo a identidade do controlador de dados, como e por que usaremos, processaremos, divulgaremos, protegeremos e reteremos esses dados pessoais por meio de um aviso de privacidade que deve ser apresentado quando o Titular de Dados fornecer os dados pessoais pela primeira vez.

Quando os dados pessoais são coletados indiretamente (por exemplo, de um terceiro ou fonte disponível publicamente), você deve fornecer ao Titular de Dados todas as informações exigidas pelo GDPR o mais rapidamente possível após coletar/receber os dados. Você também deve verificar se os dados pessoais foram coletados pelo terceiro de acordo com o GDPR e em uma base que contemple nosso processamento proposto desses dados pessoais.

Limitação de finalidade

Os dados pessoais devem ser coletados apenas para fins específicos, explícitos e legítimos. Não devem ser processados posteriormente de nenhuma maneira incompatível com esses fins.

Você não pode usar dados pessoais para fins novos, diferentes ou incompatíveis com o que foi divulgado quando foram obtidos pela primeira vez, a menos que você tenha informado o Titular de Dados sobre os novos fins e eles tenham consentido quando necessário.

Minimização de dados

Os dados pessoais devem ser adequados, relevantes e limitados ao que é necessário em relação aos fins para os quais são processados.

Você só pode processar dados pessoais quando o desempenho de suas funções de trabalho exigir. Você não pode processar dados pessoais por qualquer razão não relacionada às suas funções de trabalho.

Você só pode coletar dados pessoais que você precisa para suas funções de trabalho: não colete dados excessivos. Certifique-se de que quaisquer dados pessoais coletados sejam adequados e relevantes para os fins pretendidos.

Você deve garantir que quando os dados pessoais não forem mais necessários para fins específicos, eles sejam excluídos ou anonimizados de acordo com as diretrizes de retenção de dados da Empresa.

Exatidão

Os dados pessoais devem ser precisos e, quando necessário, mantidos atualizados. Devem ser corrigidos ou excluídos sem demora quando imprecisos.

Você garantirá que os dados pessoais que usamos e mantemos sejam precisos, completos, mantidos atualizados e relevantes para o fim para o qual os coletamos. Você deve verificar a precisão de quaisquer dados pessoais no momento da coleta e em intervalos regulares posteriormente. Você deve tomar todas as medidas razoáveis para destruir ou corrigir dados pessoais imprecisos ou desatualizados.

Limitação de armazenamento

Os dados pessoais não devem ser mantidos em forma identificável por mais tempo do que o necessário para os fins para os quais os dados são processados.

Você não deve manter dados pessoais em uma forma que permita a identificação do Titular de Dados por mais tempo do que o necessário para o propósito ou propósitos de negócios legítimos para os quais os coletamos originalmente, incluindo para o propósito de satisfazer quaisquer requisitos legais, contábeis ou de relatórios.

A Empresa manterá políticas e procedimentos de retenção para garantir que os dados pessoais sejam excluídos após um tempo razoável para os fins para os quais estavam sendo mantidos, a menos que uma lei exija que tais dados sejam mantidos por um tempo mínimo.

Você tomará todas as medidas razoáveis para destruir ou apagar de nossos sistemas todos os dados pessoais que não precisamos mais de acordo com todos os cronogramas e políticas de retenção de registros aplicáveis da Empresa. Isso inclui exigir que terceiros excluam tais dados quando aplicável.

Você garantirá que os Titulares de Dados sejam informados sobre o período pelo qual os dados são armazenados e como esse período é determinado em qualquer aviso de privacidade aplicável.

Integridade de segurança e confidencialidade

Protegendo dados pessoais

Os dados pessoais devem ser protegidos por medidas técnicas e organizacionais adequadas contra processamento não autorizado ou ilegal, e contra perda acidental, destruição ou dano.

Desenvolveremos, implementaremos e manteremos salvaguardas apropriadas ao nosso tamanho, escopo e negócio, nossos recursos disponíveis, a quantidade de dados pessoais que possuímos ou mantemos em nome de outros e riscos identificados (incluindo uso de criptografia e pseudonimização quando aplicável). Avaliaremos e testaremos regularmente a eficácia dessas salvaguardas para garantir a segurança do nosso processamento de dados pessoais. Você é responsável por proteger os dados pessoais que mantemos. Você deve implementar medidas de segurança razoáveis e apropriadas contra processamento ilegal ou não autorizado de dados pessoais e contra a perda acidental ou dano a dados pessoais. Você deve ter particular cuidado na proteção de dados pessoais sensíveis contra perda e acesso, uso ou divulgação não autorizados.

Você deve seguir todos os procedimentos e tecnologias que colocamos em vigor para manter a segurança de todos os dados pessoais desde o ponto de coleta até o ponto de destruição. Você só pode transferir dados pessoais para prestadores de serviços terceirizados que concordem em cumprir as políticas e procedimentos exigidos e que concordem em implementar medidas adequadas, conforme solicitado.

Você deve manter a segurança dos dados protegendo a confidencialidade, integridade e disponibilidade dos dados pessoais, definidos da seguinte forma:

1. Confidencialidade significa que apenas pessoas que precisam saber e estão autorizadas a usar os dados pessoais podem acessá-los.
2. Integridade significa que os dados pessoais são precisos e adequados para o fim para o qual são processados.
3. Disponibilidade significa que os usuários autorizados podem acessar os dados pessoais quando precisam para fins autorizados.

Você deve cumprir e não tentar contornar as salvaguardas administrativas, físicas e técnicas que implementamos e mantemos de acordo com o GDPR e padrões relevantes para proteger dados pessoais.

Relatar uma violação de dados pessoais

O GDPR exige que os controladores de dados notifiquem qualquer violação de dados pessoais ao regulador aplicável e, em certas instâncias, ao Titular de Dados.

Uma “violação de dados pessoais” significa qualquer ato ou omissão que comprometa a segurança, confidencialidade, integridade ou disponibilidade de dados pessoais ou as salvaguardas físicas, técnicas, administrativas ou organizacionais que nós ou nossos prestadores de serviços terceirizados implementamos para protegê-los. A perda ou acesso, divulgação ou aquisição não autorizados de dados pessoais é uma violação de dados pessoais.

Implementamos procedimentos para lidar com qualquer suspeita de violação de dados pessoais e notificaremos os Titulares de Dados ou qualquer regulador aplicável quando formos legalmente obrigados a fazê-lo.

Se você souber ou suspeitar que ocorreu uma violação de dados pessoais, não tente investigar o assunto por conta própria. Entre em contato imediatamente com o Gerente de Conformidade para violações de dados pessoais. Você deve preservar todas as evidências relacionadas à possível violação de dados pessoais.

Limitação de transferência

O GDPR restringe as transferências de dados para países fora do Espaço Econômico Europeu (EEE) a fim de garantir que o nível de proteção de dados proporcionado às pessoas pelo GDPR não seja prejudicado. Você transfere dados pessoais originados em um país além das fronteiras quando transmite, envia, visualiza ou acessa esses dados em ou para um país diferente.

Você só pode transferir dados pessoais para fora do EEE se uma das seguintes condições se aplicar:

1. a Comissão Europeia emitiu uma decisão confirmando que o país para o qual transferimos os dados pessoais garante um nível adequado de proteção para os direitos e liberdades dos Titulares de Dados;
2. salvaguardas adequadas estão em vigor, como regras corporativas vinculantes (BCR), cláusulas contratuais padrão aprovadas pela Comissão Europeia, um código de conduta aprovado ou um mecanismo de certificação, cujas cópias podem ser obtidas com o Gerente de Conformidade;
3. o Titular de Dados forneceu consentimento explícito à transferência proposta após ser informado de quaisquer riscos potenciais; ou
4. a transferência é necessária por uma das outras razões estabelecidas no GDPR, incluindo o cumprimento de um contrato entre nós e o Titular de Dados, razões de interesse público, para estabelecer, exercer ou defender reivindicações legais ou para proteger os interesses vitais do Titular de Dados onde o Titular de Dados é física ou legalmente incapaz de dar consentimento e, em alguns casos limitados, para nosso interesse legítimo.

Direitos e solicitações do titular de dados

Os Titulares de Dados têm direitos quando se trata de como tratamos seus dados pessoais. Estes incluem direitos de:

1. retirar o consentimento para o processamento a qualquer momento;
2. receber certas informações sobre as atividades de processamento do Controlador de Dados;
3. solicitar acesso aos seus dados pessoais que mantemos;
4. impedir nosso uso de seus dados pessoais para fins de marketing direto;
5. nos pedir para apagar dados pessoais se não forem mais necessários em relação aos fins para os quais foram coletados ou processados ou para retificar dados imprecisos ou completar dados incompletos;
6. restringir o processamento em circunstâncias específicas;
7. contestar o processamento que foi justificado com base em nossos interesses legítimos ou no interesse público;
8. solicitar uma cópia de um acordo sob o qual dados pessoais são transferidos para fora do EEE;
9. objetar a decisões baseadas exclusivamente em processamento automatizado, incluindo criação de perfis;
10. impedir o processamento que provavelmente causará dano ou angústia ao Titular de Dados ou a qualquer outra pessoa;
11. ser notificado de uma violação de dados pessoais que provavelmente resultará em alto risco para seus direitos e liberdades;
12. fazer uma reclamação à autoridade supervisora; e
13. em circunstâncias limitadas, receber ou pedir para que seus dados pessoais sejam transferidos para um terceiro em um formato estruturado, comumente usado e legível por máquina.

Você deve verificar a identidade de um indivíduo solicitando dados sob qualquer um dos direitos listados acima (não permita que terceiros o persuadam a divulgar dados pessoais sem autorização adequada).

Você deve encaminhar imediatamente qualquer solicitação de Titular de Dados que receber ao Gerente de Conformidade.

Responsabilidade

O controlador de dados deve implementar medidas técnicas e organizacionais adequadas de forma eficaz, para garantir a conformidade com os princípios de proteção de dados. O controlador de dados é responsável por, e deve ser capaz de demonstrar, conformidade com os princípios de proteção de dados. A Empresa deve ter recursos e controles adequados para garantir e documentar a conformidade com o GDPR, incluindo:

1. nomeando um executivo responsável pela privacidade de dados;
2. implementando privacidade por design ao processar dados pessoais e completando avaliações de impacto de proteção de dados (DPIAs) quando o processamento apresentar alto risco para os direitos e liberdades dos Titulares de Dados;
3. integrando a proteção de dados em documentos internos, incluindo esta Política, quaisquer documentos relacionados ou avisos de privacidade;
4. treinando regularmente você no GDPR, políticas e procedimentos internos e questões de proteção de dados, incluindo, por exemplo, direitos dos Titulares de Dados, consentimento, base legal, DPIA e violações de dados pessoais. A Empresa deve manter um registro de presença em treinamentos de todos que emprega e contrata; e
5. testando regularmente as medidas de privacidade implementadas e realizando revisões e auditorias periódicas para avaliar a conformidade, incluindo o uso de resultados de testes para demonstrar esforço de melhoria de conformidade.

Manutenção de registros

O GDPR nos exige manter registros completos e precisos de todas as nossas atividades de processamento de dados. Você deve manter e conservar registros corporativos precisos refletindo nosso processamento, incluindo registros de consentimentos dos Titulares de Dados e procedimentos para obtenção de consentimentos.

Esses registros devem incluir, no mínimo, o nome e os detalhes de contato do controlador de dados, descrições claras dos tipos de dados pessoais, tipos de Titulares de Dados, atividades de processamento, finalidades de processamento, destinatários terceirizados dos dados pessoais, locais de armazenamento de dados pessoais, transferências de dados pessoais, o período de retenção dos dados pessoais e uma descrição das medidas de segurança em vigor. Para criar esses registros, devem ser criados mapas de dados que incluam os detalhes estabelecidos acima junto com fluxos de dados apropriados.

Treinamento e auditoria

Somos obrigados a garantir que você recebeu treinamento adequado para capacitá-lo a cumprir as leis de privacidade de dados. Também devemos testar regularmente nossos sistemas e processos para avaliar a conformidade. Você deve passar por todo o treinamento obrigatório relacionado à privacidade de dados e garantir que sua equipe passe por treinamento obrigatório semelhante.

Você deve revisar regularmente todos os sistemas e processos sob seu controle para garantir que cumpram esta Política e verificar se controles de governança e recursos adequados estão em vigor para garantir o uso e proteção adequados dos dados pessoais.

Privacidade por design e DPIAs

Somos obrigados a implementar medidas de privacidade por design ao processar dados pessoais implementando medidas técnicas e organizacionais apropriadas (como pseudonimização) de forma eficaz, para garantir a conformidade com os princípios de privacidade de dados.

Você deve avaliar quais medidas de privacidade por design podem ser implementadas em todos os programas/sistemas/processos que processam dados pessoais levando em consideração o seguinte:

1. o estado da arte;
2. o custo de implementação;
3. a natureza, escopo, contexto e fins do processamento; e
4. os riscos de probabilidade e gravidade variáveis para os direitos e liberdades dos Titulares de Dados impostos pelo processamento.

Os controladores de dados também devem realizar DPIAs em relação ao processamento de alto risco.

Você deve realizar uma DPIA (e discutir suas conclusões com o Gerente de Conformidade) ao implementar grandes programas de mudança de sistema ou negócios envolvendo o processamento de dados pessoais, incluindo:

1. uso de novas tecnologias (programas, sistemas ou processos), ou mudança de tecnologias (programas, sistemas ou processos);
2. Processamento automatizado, incluindo criação de perfis e tomada de decisão automatizada;
3. processamento em larga escala de dados sensíveis; e
4. monitoramento sistemático em larga escala de uma área acessível ao público.

Uma DPIA deve incluir:

1. uma descrição do processamento, seus fins e os interesses legítimos do controlador de dados, se apropriado;
2. uma avaliação da necessidade e proporcionalidade do processamento em relação ao seu fim;
3. uma avaliação do risco para os indivíduos; e
4. as medidas de mitigação de risco em vigor e demonstração de conformidade.

Processamento automatizado (incluindo criação de perfis) e tomada de decisão automatizada (ADM)

Geralmente, o ADM é proibido quando uma decisão tem um efeito legal ou similar significativo sobre um indivíduo, a menos que:

1. o Titular de Dados tenha dado consentimento explícito;
2. o processamento seja autorizado por lei; ou
3. o processamento seja necessário para o cumprimento ou celebração de um contrato.

Se certos tipos de dados sensíveis estiverem sendo processados, os fundamentos (b) ou (c) não serão permitidos, mas tais dados sensíveis podem ser processados quando for necessário (a menos que meios menos intrusivos possam ser usados) para interesse público substancial, como prevenção de fraude.

Se uma decisão for baseada exclusivamente em processamento automatizado (incluindo criação de perfis), os Titulares de Dados devem ser informados quando você se comunicar com eles pela primeira vez sobre seu direito de objetar. Este direito deve ser explicitamente chamado à sua atenção e apresentado de forma clara e separada de outras informações. Além disso, medidas adequadas devem ser implementadas para salvaguardar os direitos, liberdades e interesses legítimos do Titular de Dados.

Também devemos informar o Titular de Dados sobre a lógica envolvida na tomada de decisão ou criação de perfis, a significância e consequências previstas e dar ao Titular de Dados o direito de solicitar intervenção humana, expressar seu ponto de vista ou contestar a decisão.

Uma DPIA deve ser realizada antes que qualquer processamento automatizado (incluindo criação de perfis) ou atividades de ADM sejam realizadas.

Marketing direto

Estamos sujeitos a certas regras e leis de privacidade ao comercializar para nossos clientes.

Por exemplo, o consentimento prévio de um Titular de Dados é necessário para marketing direto eletrônico (por exemplo, por e-mail, texto ou chamadas automatizadas). A exceção limitada para clientes existentes conhecida como “soft opt-in” permite que as organizações enviem textos ou e-mails de marketing se obtiverem detalhes de contato no decorrer de uma venda para essa pessoa, estiverem comercializando produtos ou serviços similares e tenham dado à pessoa uma oportunidade de recusar o marketing ao coletar os detalhes pela primeira vez e em cada mensagem subsequente. O direito de se opor ao marketing direto deve ser explicitamente oferecido ao Titular de Dados de forma inteligível para que seja claramente distinguível de outras informações.

A objeção de um Titular de Dados ao marketing direto deve ser honrada prontamente. Se um cliente recusar a qualquer momento, seus detalhes devem ser suprimidos o mais rapidamente possível. A supressão envolve reter apenas informações suficientes para garantir que as preferências de marketing sejam respeitadas no futuro.

Compartilhamento de dados pessoais

Em geral, não nos é permitido compartilhar dados pessoais com terceiros, a menos que certas salvaguardas e arranjos contratuais tenham sido implementados.

Você só pode compartilhar os dados pessoais que mantemos com outro funcionário, agente ou representante do nosso grupo (que inclui nossas subsidiárias e nossa empresa controladora final junto com suas subsidiárias) se o destinatário tiver uma necessidade relacionada ao trabalho de conhecer as informações e a transferência cumprir quaisquer restrições de transferência transfronteiriça aplicáveis.

Você só pode compartilhar os dados pessoais que mantemos com terceiros, como nossos prestadores de serviços, se:

1. eles precisarem das informações para os fins de fornecimento dos serviços contratados;
2. o compartilhamento de dados pessoais cumprir o Aviso de Privacidade fornecido ao Titular de Dados e, se necessário, o consentimento do Titular de Dados tiver sido obtido;
3. o terceiro tiver concordado em cumprir os padrões, políticas e procedimentos de segurança de dados exigidos e implementar medidas de segurança adequadas;
4. a transferência cumprir quaisquer restrições de transferência transfronteiriça aplicáveis; e um contrato escrito totalmente executado que contenha cláusulas de terceiros aprovadas pelo GDPR tiver sido obtido.