AVALIAÇÃO DE IMPACTO DA TRANSFERÊNCIA DE DADOS DA ALBATO

SERVIÇOS DA ALBATO

A Albato Limited, Chipre, HE 420916, e-mail: cyprus@albato.com (“Albato”, “nós”, “Processador”), fornece assinatura de seu produto/serviço de Software como Serviço (SaaS), sendo uma solução no-code para automação do seu (“você”, “Cliente”, “Controlador”) fluxo de trabalho por meio da integração de diferentes aplicações. Oferecemos assinaturas padrão e personalizadas, bem como serviços de assinatura incorporados.

PROCESSADOR DE DADOS

Ao fornecer os serviços, atuamos como Processador para nossos clientes. O Cliente atua como Controlador, determinando os propósitos e meios do processamento de dados pessoais, bem como os tipos de dados pessoais.

DADOS PESSOAIS PROCESSADOS

Os dados pessoais que processamos podem incluir nome, nome da empresa, e-mail, número de telefone e outros dados conforme solicitado pelo Controlador, inclusive por meio do uso da interface da Albato para carregar dados pessoais, e podem variar dependendo do caso de uso específico de cada cliente. Os dados pessoais carregados por um cliente podem incluir os próprios dados do cliente, bem como os dados de seus clientes, usuários finais, funcionários, fornecedores, etc. O Cliente é o único responsável por garantir que os dados pessoais relevantes que ele carrega e/ou processa por meio da Albato sejam carregados legalmente e que o cliente tenha base legal para processá-los.

AVALIAÇÃO GERAL

Por favor, leve em consideração que este documento de avaliação contém regras gerais aplicáveis a todos os nossos clientes, mas cada caso de uso específico de um cliente também deve ser avaliado pelo próprio cliente, incluindo o uso de assessoria jurídica, pois a avaliação depende do contexto dos dados pessoais envolvidos e dos tipos de processamento.

REGRAS DE TRANSFERÊNCIA INTERNACIONAL DO GDPR. DECISÃO SCHREMS II.

O GDPR estabelece, no Artigo 45, que uma transferência de dados pessoais para um país terceiro ou uma organização internacional pode ocorrer quando a Comissão decidir que o país terceiro, um território ou um ou mais setores específicos dentro desse país terceiro, ou a organização internacional em questão, garante um nível adequado de proteção. Tal transferência não exigirá qualquer autorização específica, conforme previsto no Artigo 45(1) do GDPR e no Considerando 103 do Regulamento (UE) 2016/679.

Em 16 de julho de 2020, o Tribunal de Justiça da União Europeia (TJUE) emitiu sua decisão no caso "Schrems II". Nessa decisão, o TJUE invalidou o quadro do Escudo de Privacidade UE-EUA como mecanismo para transferências legais de dados pessoais da UE para os EUA. Assim, a transferência de dados pessoais da UE para os EUA deixou de se enquadrar no Artigo 45 do GDPR.

Após a decisão Schrems II e as recomendações 01/2020 do Conselho Europeu de Proteção de Dados sobre medidas que complementam as ferramentas de transferência para garantir a conformidade com o nível de proteção de dados pessoais da UE, os seguintes seis passos foram elaborados e recomendados para a avaliação de impacto de transferência:

Passo 1: Identificar transferências internacionais de dados. Passo 2: Identificar o(s) mecanismo(s) de transferência de dados. Passo 3: Avaliar as leis ou práticas dos países terceiros. Passo 4: Adotar medidas suplementares. Passo 5: Adotar os passos procedimentais necessários. Passo 6: Reavaliar.

Além disso, após a decisão Schrems II, a Comissão Europeia iniciou conversas com o governo dos EUA com o objetivo de uma possível nova decisão de adequação que atendesse aos requisitos do Artigo 45(2) do Regulamento (UE) 2016/679, conforme interpretado pelo Tribunal de Justiça.

O QUADRO DE PROTEÇÃO DE DADOS UE-EUA (DPF)

O Quadro de Proteção de Dados UE-EUA (ou "DPF") é baseado em um sistema de certificação pelo qual organizações dos EUA se comprometem com um conjunto de princípios de privacidade - os "Princípios do Quadro de Proteção de Dados UE-EUA". Para ser elegível para certificação sob o DPF UE-EUA, uma organização deve estar sujeita aos poderes de investigação e execução da Federal Trade Commission (FTC) dos EUA ou do Departamento de Transportes dos EUA (DoT). As organizações do DPF UE-EUA são obrigadas a recertificar sua adesão aos Princípios anualmente.

Após a decisão Schrems II e como resultado de discussões com a Comissão Europeia, os Estados Unidos adotaram, em 7 de outubro de 2022, a Ordem Executiva 14086 "Reforçando Salvaguardas para Atividades de Inteligência de Sinais dos EUA" (EO 14086), complementada por um Regulamento sobre o Tribunal de Revisão de Proteção de Dados emitido pelo Procurador-Geral dos EUA (Regulamento AG). Além disso, o DPF UE-EUA foi atualizado.

A Comissão Europeia analisou cuidadosamente a legislação e a prática dos EUA, incluindo a EO 14086 e o Regulamento AG. Com base nas conclusões, a Comissão concluiu que os Estados Unidos garantem um nível adequado de proteção para dados pessoais transferidos sob o DPF UE-EUA de um controlador ou processador na União para organizações certificadas nos Estados Unidos. Isso foi declarado na Decisão de Execução da Comissão de 10.07.2023, com base no Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre o nível adequado de proteção de dados pessoais no âmbito do Quadro de Proteção de Dados UE-EUA.

Essa decisão tem o efeito de que as transferências de dados pessoais de controladores e processadores na União para organizações certificadas nos Estados Unidos podem ocorrer sob o GDPR sem a necessidade de obter qualquer autorização adicional.

TRANSFERÊNCIA INTERNACIONAL DE DADOS DA ALBATO

A Albato realiza transferências internacionais dos dados pessoais indicados na Seção 3 acima. A lista e o volume de dados são determinados com base nas instruções do cliente. A transferência é feita, quando aplicável, com base no Acordo de Proteção de Dados relevante e nas Cláusulas Contratuais Padrão. Como a Albato está hospedada na Amazon Web Services, o local de armazenamento está nos Estados Unidos. A análise da legislação atual dos EUA é realizada, entre outros, de acordo com a decisão de execução da Comissão de 10.07.2023. Além dos acordos legais, a Albato também adota medidas técnicas e organizacionais atualizadas para garantir a segurança dos dados pessoais. A transferência internacional de dados é realizada apenas para uma única terceira parte - a Amazon Web Services, Inc., que é certificada pelo EU-US Data Privacy Framework.