Última atualização: 10 de julho de 2025
1.1 Âmbito de aplicação. O presente documento estabelece os termos gerais de utilização (doravante, os "Termos") da plataforma online denominada "Tuduu" (doravante, a "Plataforma"), desenvolvida e fornecida por Drilldown S.r.l., com sede legal em Viale Isonzo 8, 20135 Milão (MI), Itália, NIF/CNPJ 12392590969 (doravante "Drilldown"). Os presentes Termos aplicam-se a todos os Usuários Profissionais que se registram na Plataforma e utilizam os seus serviços. Entendem-se por Usuários Profissionais, a título exemplificativo: os profissionais de nutrição (ex.: nutricionistas, dietólogos, dietistas) que utilizam as seções "Receitas" e "Nutrition"; os criadores de conteúdo e content providers (que utilizam principalmente a seção "Receitas"); e os operadores de e-commerce (que utilizam as seções "Shop" e "Receitas").
1.2 Aceitação. O acesso, o registro e qualquer utilização da Plataforma pelo Usuário pressupõem a leitura integral e a aceitação expressa dos presentes Termos, bem como de eventuais documentos a eles vinculados (como a Política de Privacidade e o Acordo sobre o tratamento de dados, quando aplicável). Na ausência de aceitação, não é permitida a utilização da Plataforma. O Usuário declara ter tomado conhecimento dos Termos e compromete-se a respeitá-los em todos os momentos.
1.3 Requisitos do Usuário. A Plataforma destina-se a Usuários Profissionais maiores de idade e dotados de capacidade jurídica. Ao se registrar, o Usuário garante ter pelo menos 18 anos (ou a maioridade legal em seu país) e, se agir em nome de uma empresa ou entidade, possuir os poderes de representação necessários. A Drilldown reserva-se o direito de solicitar informações ou documentação adicional para verificar o status profissional do Usuário (por exemplo, inscrição em um conselho/ordem profissional para nutricionistas, quando exigido pela legislação vigente).
2.1 Procedimento de registro. O registro na Plataforma pode ocorrer (i) por meio do formulário específico de inscrição online disponibilizado no site da Plataforma, no qual o Usuário fornecerá os dados solicitados, ou (ii) mediante convite direto enviado pela Drilldown (por exemplo, no âmbito de colaborações, programas-piloto ou afiliações). Em ambos os casos, após a conclusão do registro será criada uma conta pessoal para o Usuário (doravante, "Conta").
2.2 Dados fornecidos e credenciais. O Usuário compromete-se a fornecer, durante o registro, informações precisas, completas e verdadeiras (por exemplo: nome, sobrenome, endereço de e-mail, dados profissionais, etc.) e a mantê-las atualizadas. As credenciais de acesso à Conta (nome de usuário e senha) são pessoais e intransferíveis. O Usuário deve guardar suas credenciais com o máximo sigilo e não compartilhá-las com terceiros. Em caso de perda, roubo ou suspeita de uso não autorizado da Conta, o Usuário deverá informar imediatamente a Drilldown, que poderá adotar as medidas necessárias (ex.: suspensão temporária da Conta).
2.3 Unicidade da Conta. Cada Usuário pode criar apenas uma Conta, salvo autorização escrita em contrário da Drilldown por necessidades específicas (por exemplo, contas separadas para diferentes colaboradores de uma mesma organização). A Drilldown reserva-se o direito de eliminar ou unificar contas duplicadas relativas ao mesmo Usuário.
2.4 Gestão e suspensão da Conta. O Usuário é responsável por todas as atividades realizadas por meio de sua Conta. A Drilldown reserva-se a faculdade de recusar, suspender ou cancelar um registro ou uma Conta, a qualquer momento e sem aviso prévio, caso entenda que haja violações destes Termos, uso indevido da Plataforma ou motivos de segurança. Em caso de cancelamento da Conta pela Drilldown por violação dos Termos, o Usuário não terá direito a reembolso de quaisquer valores pagos por períodos de serviço não utilizados, sem prejuízo do que for previsto em contrário pela lei aplicável.
3.1 Seção "Receitas". A Plataforma disponibiliza uma seção "Receitas" na qual os Usuários podem criar, carregar e gerenciar receitas culinárias. Esta seção é acessível a todos os Usuários Profissionais registrados, em especial: (i) profissionais de nutrição, que podem criar receitas para incluir em planos alimentares para seus clientes ou para compartilhá-las com outros usuários; (ii) creators e content providers, que podem publicar receitas originais, com textos, ingredientes, instruções e imagens, tornando-as disponíveis na Plataforma; (iii) operadores de e-commerce, que podem associar os produtos de sua loja online como ingredientes das receitas, tornando essas receitas uma ferramenta de promoção e venda de produtos alimentícios. A seção Receitas permite aplicar filtros nutricionais e de preferência alimentar (por ex., receitas vegetarianas, veganas, sem glúten, etc.) para facilitar a busca de pratos adequados a necessidades específicas. As receitas carregadas são processadas pela Plataforma por meio de algoritmos que analisam os ingredientes e calculam automaticamente os valores nutricionais (por exemplo, calorias, macronutrientes, etc.) por porção, bem como a compatibilidade com determinados regimes alimentares com base nos ingredientes indicados.
3.2 Seção "Shop". A seção "Shop" é dedicada aos Usuários Profissionais que são operadores de e-commerce e/ou varejo, bem como aos do setor alimentício ou nutricional. Nesta seção, o Usuário pode integrar seu catálogo de produtos alimentícios ou ingredientes com a Plataforma Tuduu. Em particular, o operador de e-commerce pode vincular os produtos de sua loja online às receitas presentes na Tuduu: isso permite, por exemplo, que um ingrediente listado em uma receita corresponda a um produto comprável na loja do operador. Os usuários finais da Plataforma (ex.: visitantes ou clientes do operador) poderão assim adicionar esses ingredientes/produtos diretamente ao carrinho de compras com um clique, criando uma experiência de "receita comprável". A Plataforma também oferece funcionalidades de SEO (Search Engine Optimization) automáticas para as receitas integradas com a loja, a fim de aumentar sua visibilidade online. Também para os produtos associados ao Shop, a Plataforma pode aplicar algoritmos de análise nutricional e categorização: por exemplo, identificando características nutricionais ou a presença/ausência de alérgenos e gerando automaticamente filtros (ex.: "sem lactose", "orgânico", etc.) que ajudem os usuários a encontrar produtos alinhados às suas necessidades dietéticas.
3.3 Seção "Nutrition". A seção "Nutrition" é voltada principalmente para os profissionais de nutrição (nutricionistas, dietólogos, dietistas ou outras figuras habilitadas). Nesta área da Plataforma, o profissional pode gerir informações e planos nutricionais para seus clientes/pacientes. As funcionalidades da seção Nutrition incluem ferramentas para criar e personalizar planos alimentares, dietas ou relatórios nutricionais. O profissional pode utilizar as receitas (próprias ou disponíveis na Plataforma) dentro dos planos nutricionais, com a possibilidade de modificar as porções e ver os impactos nutricionais em tempo real graças aos algoritmos integrados de cálculo nutricional. Além disso, a seção Nutrition oferece a possibilidade de gerar documentos PDF (por exemplo, fichas de dieta ou relatórios para entregar ao cliente) e de utilizar um app móvel dedicado: este aplicativo móvel permite ao cliente final visualizar seu plano nutricional, as receitas recomendadas e outras informações compartilhadas pelo profissional diretamente no seu smartphone. Isso favorece um monitoramento contínuo e uma interação mais direta entre o profissional e o cliente por meio da Plataforma.
3.4 Algoritmos de análise nutricional. Em todas as seções descritas acima, a Plataforma Tuduu utiliza algoritmos avançados para a análise nutricional de receitas e produtos. Tais algoritmos processam os dados fornecidos pelos Usuários (ingredientes das receitas, informações nutricionais dos produtos, porções, etc.) e produzem automaticamente resultados como: o cálculo dos valores nutricionais (ex.: energia, macronutrientes, micronutrientes), indicações sobre alérgenos ou substâncias específicas presentes, e sugestões sobre a compatibilidade de receitas/produtos com dietas específicas (por exemplo, se uma receita é adequada a uma dieta vegana ou sem glúten). Os algoritmos visam fornecer informações úteis e precisas; no entanto, operam com base nos dados disponíveis e em regras gerais, sem intervenção humana direta. Portanto, os resultados gerados podem nem sempre ser perfeitamente precisos ou adequados a cada circunstância. É responsabilidade do Usuário (especialmente do profissional de nutrição) examinar e verificar a exatidão das informações nutricionais e das sugestões fornecidas algoritmicamente antes de utilizá-las ou comunicá-las a seus clientes. As formas pelas quais os Usuários devem lidar com eventuais erros ou inconsistências são descritas nas seções seguintes destes Termos.
4.1 Utilização conforme e lícita. O Usuário compromete-se a utilizar a Plataforma e os serviços relacionados de forma compatível com estes Termos, com eventuais instruções fornecidas pela Drilldown e em conformidade com as leis e regulamentos aplicáveis. É vedado ao Usuário utilizar a Plataforma para fins ilegais ou não autorizados. Em especial, o Usuário não deverá: (i) utilizar a Plataforma de modo a violar direitos de terceiros ou normas legais (por exemplo, normas relativas à propriedade intelectual, proteção de dados pessoais, concorrência leal, etc.); (ii) inserir conteúdos ou materiais prejudiciais, ofensivos, difamatórios, obscenos ou de outra forma inadequados; (iii) tentar acessar sem autorização as funcionalidades da Plataforma, contas de terceiros ou sistemas informáticos da Drilldown, nem comprometer a segurança ou a integridade da Plataforma (por exemplo, através da introdução de vírus, malware ou outras atividades perturbadoras).
4.2 Verificação dos resultados algorítmicos. Conforme descrito no parágrafo 3.4, a Plataforma gera automaticamente informações nutricionais e sugestões mediante algoritmos. O Usuário reconhece que tais informações são meramente indicativas e devem sempre ser avaliadas criticamente. É obrigação do Usuário, em especial se for profissional de nutrição, verificar a exatidão e a coerência dos resultados algorítmicos (por exemplo, valores nutricionais calculados para uma receita, rótulos nutricionais ou dietéticos atribuídos a um produto) antes de utilizá-los para fins profissionais ou de compartilhá-los com seus clientes ou com o público. Caso o Usuário identifique erros, inconsistências ou anomalias nos dados gerados pela Plataforma, compromete-se a comunicá-los prontamente à Drilldown por meio dos instrumentos de suporte ou contato disponibilizados. O Usuário está ciente de que o não cumprimento dessa obrigação de verificação poderá acarretar a divulgação de informações inexatas, pelas quais ele próprio será considerado responsável.
4.3 Conteúdos do Usuário – Licenças e garantias. Todos os conteúdos carregados, publicados ou de outra forma inseridos pelo Usuário na Plataforma (incluindo, a título exemplificativo: textos, receitas, ingredientes, fotos, vídeos, marcas, logotipos, descrições de produtos) devem estar legitimamente à disposição do Usuário. O Usuário garante dispor dos direitos necessários (de propriedade intelectual e/ou de uso) sobre tais conteúdos, ou de ter obtido as autorizações adequadas dos titulares dos direitos, de modo que o uso dos conteúdos na Plataforma e pela Drilldown nos termos destes Termos não viole direitos de terceiros. Além disso, ao carregar conteúdos na Plataforma, o Usuário concede à Drilldown o direito e a licença não exclusivos, sublicenciáveis e gratuitos de utilizar, reproduzir, modificar, publicar, traduzir, distribuir, exibir e executar tais conteúdos exclusivamente em relação à prestação dos serviços da Plataforma e às atividades promocionais da mesma. Tal licença cessará no momento em que o Usuário remover os conteúdos da Conta ou da Plataforma, salvo nos casos em que a conservação seja exigida por obrigações legais ou para tutela de direitos. O Usuário também garante que os conteúdos fornecidos são precisos, verdadeiros (por exemplo, as informações nutricionais ou os ingredientes de uma receita correspondem à realidade) e não contrariam normas legais ou regulamentos (por exemplo, não contêm alegações enganosas ou não permitidas no âmbito alimentar). O Usuário assume total responsabilidade pelos conteúdos que insere na Plataforma, isentando e mantendo a Drilldown indene de qualquer reclamação de terceiros decorrente dos referidos conteúdos (veja também a Cláusula de Indenização no par. 9.4). A Drilldown reserva-se o direito de remover ou ocultar qualquer conteúdo do Usuário que considere, a seu exclusivo critério, violar estes Termos ou direitos de terceiros, ou ser inadequado.
4.4 Obrigações específicas para Operadores de e-commerce. O Usuário que utiliza a seção Shop na qualidade de operador de e-commerce é o único responsável pelos produtos que disponibiliza e pelas transações comerciais eventualmente concluídas por meio da Plataforma. Isso inclui, a título exemplificativo mas não exaustivo: a conformidade dos produtos alimentícios com as normas vigentes (por exemplo, em matéria de segurança alimentar, rotulagem, alegações nutricionais e de saúde autorizadas); a veracidade e completude das descrições dos produtos (ingredientes, alérgenos, características nutricionais, preço, etc.); a gestão dos pedidos efetuados pelos usuários finais, do respectivo envio, entrega, faturação, bem como do suporte pós-venda, devoluções e reembolsos conforme previsto pela lei aplicável (por exemplo, o Código do Consumidor, se aplicável ao cliente final). A Drilldown fornece exclusivamente a infraestrutura tecnológica da Plataforma para facilitar o encontro entre o operador de e-commerce e os usuários finais compradores: a Drilldown, salvo intervenção de parceiros terceiros, não é parte contratual das compras e vendas de produtos entre o Usuário operador de e-commerce e os clientes finais, nem assume obrigações de garantia sobre os produtos vendidos por tais Usuários. O operador de e-commerce manterá a Drilldown integralmente indene de qualquer responsabilidade ou custo decorrente de reclamações, contestações, danos ou violações relativos aos produtos por ele oferecidos ou às transações comerciais efetuadas por meio da Plataforma.
4.5 Respeito às normas profissionais. Se o Usuário for um profissional sujeito a normas deontológicas ou requisitos legais específicos (por exemplo, um nutricionista inscrito em uma ordem/conselho profissional), ele deverá utilizar a Plataforma de modo coerente com as obrigações decorrentes de seu status profissional. Por exemplo, o profissional de nutrição deverá assegurar que o uso das ferramentas da Plataforma (como a elaboração de dietas ou conselhos nutricionais) ocorra em conformidade com as diretrizes e normas aplicáveis à sua profissão. Nada nestes Termos exime o Usuário do cumprimento de tais obrigações profissionais.
5.1 Serviços pagos e planos SaaS. O acesso a algumas funcionalidades ou seções da Plataforma (por exemplo, o uso avançado da seção Receitas para e-commerce, ou ferramentas avançadas da seção Nutrition) pode estar condicionado à contratação de um plano de assinatura SaaS (Software-as-a-Service) pago. A Drilldown pode oferecer diferentes planos com diversos níveis de serviço (por exemplo: planos com número máximo de receitas gerenciáveis, funcionalidades adicionais como receitas "compráveis", remoção da marca d’água Tuduu, suporte prioritário, etc.), conforme descrito na Plataforma ou na documentação comercial da Drilldown. Alguns planos podem prever um período inicial de teste gratuito, ao fim do qual a assinatura se tornará paga, salvo cancelamento tempestivo pelo Usuário.
5.2 Valores e formas de pagamento. Os preços dos vários pacotes de assinatura (doravante "Valores") estão indicados na Plataforma ou comunicados pela Drilldown ao Usuário no momento da contratação. Os Valores são normalmente expressos sem IVA e sem eventuais impostos aplicáveis, que serão adicionados se devidos conforme a legislação fiscal vigente. O pagamento dos Valores é realizado por meio de sistemas externos de pagamento eletrônico, como, por exemplo, Stripe. No momento da contratação, o Usuário poderá ser solicitado a inserir os dados de um cartão de crédito ou de outro método de pagamento suportado, e o Usuário autoriza a Drilldown (ou o fornecedor terceiro Stripe) a debitar automaticamente o Valor devido com a periodicidade prevista pelo plano escolhido (ex.: mensal ou anual). Todas as transações estão sujeitas aos termos e condições do provedor de pagamento Stripe; a Drilldown não armazena os dados completos dos cartões de crédito do Usuário, que são geridos com segurança pela Stripe.
5.3 Alterações de preço. A Drilldown reserva-se o direito de alterar o preço dos planos de assinatura a qualquer momento. Eventuais alterações de preço entrarão em vigor não antes do próximo período de faturação subsequente à comunicação ao Usuário. A Drilldown informará o Usuário de forma adequada (por exemplo, por e-mail ou por notificação dentro da Plataforma) sobre alterações de preço com antecedência razoável. Caso o Usuário não deseje aceitar o novo preço, poderá cancelar a assinatura antes que a alteração se torne efetiva; a continuidade da utilização do serviço após a entrada em vigor da alteração constituirá aceitação do novo preço.
5.4 Duração da assinatura e cancelamento. Salvo indicação em contrário, as assinaturas são consideradas com renovação automática: no vencimento de cada período (mensal, anual, etc.), a assinatura é renovada automaticamente por mais um período de igual duração, salvo cancelamento pelo Usuário ou rescisão pela Drilldown dentro dos prazos indicados a seguir. O Usuário pode rescindir a assinatura a qualquer momento por meio da funcionalidade específica na Plataforma (por exemplo, nas configurações da Conta) ou entrando em contato com o suporte da Drilldown para solicitar o cancelamento. O cancelamento produzirá efeitos ao final do período de assinatura já pago: até esse momento o Usuário manterá o acesso às funcionalidades pagas, e não estão previstos reembolsos por eventuais períodos não utilizados. Em caso de falta de pagamento do Valor (por exemplo, por cartão de crédito inválido ou insuficiência de fundos) ou de violação destes Termos pelo Usuário, a Drilldown poderá suspender ou resolver a assinatura; nesse caso, o Usuário permanece obrigado ao pagamento dos valores devidos até a data da cessação, sem prejuízo do direito da Drilldown à reparação de danos adicionais se a resolução tiver ocorrido por inadimplemento do Usuário.
Caso a Drilldown e o Usuário tenham celebrado um acordo escrito específico que preveja termos e condições particulares para a utilização da Plataforma (por exemplo, um contrato personalizado de serviço, uma convenção empresarial ou de parceria), ou a publicação dos conteúdos (receitas e produtos) em canais externos como o marketplace Tuduu.it ou outros canais compartilhados, as disposições desse acordo particular aplicar-se-ão em complemento aos presentes Termos. Em caso de conflito entre as cláusulas do contrato personalizado e o previsto nestes Termos gerais, prevalecerão as cláusulas do contrato personalizado, limitadamente aos aspectos em conflito. Fica entendido que, para tudo o que não estiver expressamente disciplinado no acordo específico, aplicar-se-ão os presentes Termos Gerais.
7.1 Plataforma e conteúdos da Drilldown. A Plataforma (incluindo o software, o código-fonte, o design, a interface do usuário, os bancos de dados, as marcas "Tuduu" e "Drilldown", os logotipos, os nomes de domínio e todos os demais conteúdos e materiais presentes no site e no app, com exceção dos Conteúdos do Usuário conforme definidos acima) é de propriedade exclusiva da Drilldown ou de seus eventuais licenciantes. Tais elementos são protegidos pelas leis de direitos autorais, marcas, patentes, design industrial e/ou outras normas de tutela da propriedade intelectual. O Usuário compromete-se a não copiar, modificar, distribuir, vender ou criar obras derivadas de qualquer parte da Plataforma ou de seus conteúdos proprietários, salvo se expressamente permitido pela Drilldown ou pela lei. O acesso à Plataforma não implica, em hipótese alguma, a transferência ao Usuário de direitos de propriedade intelectual sobre o software ou outros elementos de titularidade da Drilldown, mas apenas a concessão de uma licença de uso limitada, revogável e não exclusiva, destinada à utilização da Plataforma em conformidade com estes Termos.
7.2 Conteúdos do Usuário. O Usuário mantém a plena titularidade dos direitos sobre seus próprios conteúdos que carrega na Plataforma (conforme definidos no parágrafo 4.3). No entanto, em conformidade com o estabelecido na cláusula 4.3, o Usuário concede à Drilldown uma licença de uso dos referidos conteúdos para as finalidades e com as limitações ali descritas. O Usuário reconhece que tais conteúdos publicados na Plataforma poderão ser visíveis a outros usuários ou, no caso de receitas ou informações tornadas públicas, também a visitantes não registrados, e autoriza a Drilldown a realizar eventuais atividades de publicação, compartilhamento ou indexação necessárias para dar visibilidade a esses conteúdos nos termos previstos pelas funcionalidades da Plataforma.
7.3 Feedback e sugestões. Caso o Usuário forneça à Drilldown comentários, sugestões ou ideias relativas à Plataforma ou aos serviços (por exemplo, indicação de novas funcionalidades ou melhorias), tais contribuições não serão consideradas confidenciais. A Drilldown será livre para utilizar esse feedback para qualquer fim, sem que isso gere ao Usuário direito a qualquer remuneração ou reconhecimento, e sem que isso implique transferência de direitos ao Usuário sobre eventuais modificações ou melhorias implementadas.
8.1 Tratamento de dados pessoais. A Drilldown trata os dados pessoais fornecidos pelo Usuário ou de outra forma coletados durante a utilização da Plataforma em conformidade com o Regulamento UE 2016/679 ("GDPR") e com a legislação italiana de privacidade aplicável. As informações sobre as modalidades e finalidades do tratamento de dados pessoais estão detalhadas na Política de Privacidade fornecida ao Usuário e disponível no site da Plataforma. Ao aceitar os presentes Termos, o Usuário declara ter tomado conhecimento dessa política.
8.2 Dados de terceiros inseridos pelo Usuário. Caso o Usuário (por exemplo, um profissional de nutrição) insira na Plataforma dados pessoais de terceiros, como informações sobre seus clientes ou pacientes (ex.: nome, contatos, dados relativos à saúde ou ao regime alimentar), ele garante ter obtido tais dados de forma lícita e, quando necessário, ter obtido o consentimento informado dos titulares para a utilização desses dados dentro da Plataforma. Em relação a tais tratamentos, o Usuário qualifica-se como Controlador do tratamento e a Drilldown atua como Operadora do tratamento nos termos do art. 28 do GDPR, limitadamente às atividades de conservação e processamento necessárias para fornecer os serviços da Plataforma. Para esse efeito, poderá ser elaborado um Acordo de Tratamento de Dados (Data Processing Agreement) específico, que disciplinará em detalhe as respectivas obrigações em matéria de proteção de dados pessoais; tal acordo, quando aplicável, considera-se parte integrante destes Termos.
8.3 Dados de utilização e dados agregados. A Drilldown está autorizada a recolher e processar dados relativos à utilização da Plataforma pelos Usuários (por exemplo, funcionalidades utilizadas, número de receitas criadas, parâmetros de pesquisa, estatísticas de navegação, feedback fornecido, etc.) com a finalidade de melhorar o serviço e garantir o correto funcionamento da Plataforma. Esses dados de utilização, uma vez recolhidos, poderão ser submetidos a processos de anonimização e agregação, de modo a não permitir mais a identificação direta ou indireta dos Usuários ou de pessoas físicas. O Usuário toma conhecimento e aceita expressamente que a Drilldown, em conformidade com a legislação vigente, poderá utilizar esses dados anônimos e agregados para fins de análise estatística, pesquisa e desenvolvimento, e também para fins comerciais e de monetização. Isso poderá incluir, por exemplo, a publicação de relatórios ou insights sobre tendências nutricionais extraídos dos dados globais dos usuários, ou o compartilhamento de dados estatísticos com terceiros interessados (por exemplo, parceiros comerciais) de forma rigorosamente anônima. Em nenhuma hipótese essas atividades implicarão a comunicação a terceiros de dados pessoais identificáveis do Usuário sem o consentimento deste ou sem outra base legítima de licitude prevista em lei.
9.1 Funcionalidade da Plataforma - "como vista". A Plataforma Tuduu e todos os seus serviços e funcionalidades são fornecidos ao Usuário na fórmula "tal como está" e "conforme disponível" ("as is" e "as available"). Isso significa que, embora a Drilldown se comprometa a manter a Plataforma operacional e atualizada, nenhuma garantia específica é fornecida quanto à ausência de erros ou interrupções. Em particular, a Drilldown não garante que: (i) a Plataforma satisfaça plenamente as necessidades específicas do Usuário; (ii) os resultados obtidos por meio do uso da Plataforma (incluindo as análises nutricionais algorítmicas) sejam sempre precisos, exatos ou confiáveis; (iii) o funcionamento da Plataforma seja livre de interrupções, atrasos, mau funcionamento ou erros; (iv) eventuais defeitos ou bugs do software sejam corrigidos imediatamente. O Usuário aceita que a utilização da Plataforma ocorre por sua própria conta e risco.
9.2 Limitação da responsabilidade da Drilldown. Na máxima extensão permitida pela lei aplicável, a Drilldown não será responsável por danos indiretos, incidentais, consequenciais, especiais ou punitivos sofridos pelo Usuário ou por terceiros em conexão com a utilização da Plataforma ou a impossibilidade de utilizá-la. Ficam em qualquer caso excluídos da indenização, dentro dos limites acima, danos como: perda de lucro, perda de ganhos ou de economias, perda de oportunidades comerciais, perda de dados, interrupção da atividade ou reclamações de terceiros contra o Usuário. Caso a Drilldown venha a ser considerada responsável por qualquer motivo no âmbito da relação contratual com o Usuário, a responsabilidade total da Drilldown não poderá exceder o montante dos valores que o Usuário tenha pago à Drilldown nos 12 meses anteriores ao evento que gerou a responsabilidade (ou, se a utilização da Plataforma for gratuita, um montante equivalente a 100 euros como teto). Esta limitação de responsabilidade aplica-se na máxima extensão permitida por lei, e nada nestes Termos pretende limitar a responsabilidade da Drilldown por dolo ou culpa grave, ou outros casos em que a limitação não seja admitida por lei.
9.3 Nenhum aconselhamento médico ou diagnóstico. O Usuário reconhece que a Plataforma e as funcionalidades fornecidas não têm natureza de dispositivo médico e não constituem, de forma alguma, oferta de aconselhamento médico, diagnóstico ou tratamento de saúde personalizado. As informações nutricionais, os dados e as sugestões gerados por meio da Tuduu têm exclusivamente finalidade informativa e de apoio profissional, e não substituem em hipótese alguma a opinião médica ou a avaliação de um profissional de saúde habilitado. Qualquer decisão relativa à saúde, dieta ou tratamento de um indivíduo deve ser tomada por um profissional competente com base na avaliação direta do caso específico. Se o Usuário for um profissional de nutrição, ele continua plenamente responsável pelas orientações fornecidas aos seus clientes/pacientes: o uso da Plataforma não exime o Usuário do dever de avaliação pessoal e do cumprimento das melhores práticas profissionais. Se o Usuário não for um profissional de saúde, deverá sempre consultar médicos ou especialistas qualificados para diagnósticos ou aconselhamento terapêutico. A Drilldown não garante qualquer resultado em termos de saúde ou condição física decorrente do uso da Plataforma, nem assume responsabilidade por consequências decorrentes da confiança exclusiva em informações obtidas por meio da Plataforma.
9.4 Indenização do Usuário. O Usuário compromete-se a indenizar e manter indene a Drilldown, bem como seus representantes, empregados e colaboradores, de qualquer perda, dano, responsabilidade, custo ou despesa (incluindo honorários advocatícios razoáveis) decorrente de qualquer reclamação ou pretensão de terceiros causada por ou relacionada a: (i) conteúdos fornecidos pelo Usuário na Plataforma que violem direitos de terceiros ou normas legais; (ii) violação, pelo Usuário, destes Termos ou de obrigações legais na utilização da Plataforma; (iii) negligência, imprudência ou dolo do Usuário na utilização da Plataforma; (iv) produtos vendidos ou comercializados pelo Usuário por meio da Plataforma (no caso de operador de e-commerce), incluindo eventuais contestações sobre a qualidade, conformidade ou segurança desses produtos. A Drilldown notificará prontamente o Usuário sobre o eventual surgimento de tais reclamações e cooperará razoavelmente na defesa, ficando entendido que será faculdade da Drilldown conduzir autonomamente sua própria defesa jurídica.
10.1 Duração do contrato. O presente acordo contratual entre o Usuário e a Drilldown entra em vigor no momento da aceitação dos Termos pelo Usuário (registro e/ou primeiro uso da Plataforma) e permanece válido durante todo o período de utilização da Plataforma pelo Usuário. A conta e eventual assinatura do Usuário são por prazo indeterminado, com renovações periódicas automáticas conforme descrito acima, salvo cessação nos termos previstos a seguir.
10.2 Rescisão pelo Usuário. O Usuário pode rescindir, a qualquer momento, a presente relação contratual solicitando o cancelamento de sua Conta e cessando o uso da Plataforma. O cancelamento da Conta pode ser efetuado por meio da função específica na Plataforma (quando disponível) ou por contato escrito com a Drilldown. Em caso de rescisão voluntária, o Usuário não terá direito a qualquer reembolso dos valores já pagos por serviços não integralmente usufruídos, sem prejuízo do disposto no par. 5.4 acima para assinaturas em curso. O encerramento da Conta implica a futura inacessibilidade aos dados e conteúdos inseridos pelo Usuário na Plataforma, sem prejuízo das obrigações de conservação de dados para cumprimento de lei ou tutela de direitos, conforme indicado na Política de Privacidade.
10.3 Suspensão ou resolução pela Drilldown. A Drilldown reserva-se o direito de suspender temporariamente o acesso do Usuário à Plataforma ou de resolver o presente contrato com efeito imediato (desativando a Conta), nos seguintes casos: (i) quando isso for necessário para garantir a segurança da Plataforma ou dos dados (por exemplo, em caso de violação ou ameaça à segurança cibernética); (ii) em caso de violação grave ou reiterada, pelo Usuário, destes Termos (por exemplo, uso ilícito da Plataforma, falta de pagamento de valores devidos, divulgação não autorizada de dados confidenciais, etc.); (iii) se assim exigido por decisão de uma Autoridade ou por norma legal; (iv) em caso de cessação da atividade da Drilldown relativa à Plataforma ou de impossibilidade superveniente de fornecer os serviços. Salvo se isso for proibido por lei ou por decisões (ex.: ordem de autoridade para bloqueio imediato), a Drilldown fornecerá ao Usuário uma comunicação escrita da suspensão ou resolução, indicando as respectivas motivações, com aviso prévio razoável quando possível. Em caso de resolução não imputável ao Usuário (por exemplo, hipótese (iv) acima), a Drilldown, quando aplicável, reembolsará ao Usuário a parte do valor já pago correspondente ao período de assinatura não usufruído após a data de eficácia da resolução.
10.4 Efeitos da cessação. Após a cessação da relação contratual, por qualquer motivo, o Usuário deverá cessar imediatamente o uso da Plataforma. Todas as cláusulas destes Termos que, por sua natureza, devam sobreviver à cessação (como, a título exemplificativo: as obrigações de pagamento vencidas, as exclusões de garantia, as limitações de responsabilidade, as indenizações, as disposições em matéria de propriedade intelectual e tratamento de dados) continuarão a produzir plenos efeitos. A cessação da eficácia dos Termos não prejudica quaisquer direitos ou remédios legais constituídos até esse momento em favor das partes.
A Drilldown reserva-se o direito de atualizar ou modificar estes Termos a qualquer momento, por exemplo, para adaptá-los a mudanças regulatórias, à introdução de novas funcionalidades ou serviços, ou por outras necessidades organizacionais. Em caso de alteração substancial dos Termos, a Drilldown comunicará ao Usuário com antecedência adequada, mediante publicação de aviso no site da Plataforma e/ou envio de comunicação para o endereço de e-mail cadastrado do Usuário. As alterações serão eficazes a partir da data indicada na comunicação (ou, na ausência de indicação, após 15 dias da comunicação). Caso o Usuário não pretenda aceitar as alterações, poderá rescindir o contrato até a data de eficácia das mesmas, cancelando sua Conta. Na ausência de rescisão dentro desse prazo, os novos Termos serão considerados aceitos e aplicáveis ao Usuário a partir da data de eficácia indicada.
Estes Termos e todas as relações contratuais deles decorrentes são regidos pela lei italiana. Qualquer litígio que venha a surgir entre a Drilldown e o Usuário em relação à interpretação, validade, execução ou resolução destes Termos, ou de qualquer forma relacionado ao uso da Plataforma, será submetido à competência exclusiva do Foro de Milão, ressalvados eventuais foros inderrogáveis previstos pela lei aplicável.
13.1 Integralidade do acordo. Estes Termos (juntamente com os documentos referidos ou anexados, como a Política de Privacidade e, quando aplicável, o Acordo sobre o Tratamento de Dados) constituem o acordo integral entre o Usuário e a Drilldown em relação ao uso da Plataforma pelo Usuário e substituem qualquer entendimento ou acordo anterior, oral ou escrito, celebrado entre as partes sobre o mesmo objeto. Permanece resguardada a possibilidade de celebrar contratos ad hoc conforme previsto no art. 6 acima.
13.2 Invalidade parcial. Caso qualquer disposição destes Termos seja considerada nula, inválida ou ineficaz por autoridade competente (por exemplo, um Tribunal), ela será aplicada na máxima extensão permitida e isso não afetará a validade e eficácia das demais disposições, que continuarão plenamente válidas e vinculativas.
13.3 Não renúncia. O eventual não exercício ou o exercício tardio de um direito ou faculdade previsto em favor da Drilldown nestes Termos não constitui, de forma alguma, renúncia a fazer valer tal direito ou faculdade, que poderá igualmente ser exercido em momento posterior, dentro dos limites permitidos por lei.
13.4 Cessão do contrato. O Usuário não pode ceder ou transferir a terceiros o presente contrato (isto é, a sua Conta e os direitos/obrigações decorrentes dos Termos) sem o prévio consentimento escrito da Drilldown. A Drilldown, mediante comunicação ao Usuário, poderá ceder o presente contrato no âmbito de transferências de empresa, operações societárias extraordinárias ou para sociedades controladoras, controladas ou coligadas, desde que isso não prejudique os direitos do Usuário nos termos destes Termos.
13.5 Idioma e versões. Estes Termos Gerais de Utilização foram redigidos em língua italiana. Eventuais traduções para outros idiomas ou versões locais são fornecidas exclusivamente para conveniência de consulta; em caso de divergência ou dúvidas interpretativas, o texto em língua italiana prevalecerá sobre os demais.
13.6 Contatos. Para qualquer comunicação relativa a estes Termos ou ao uso da Plataforma, o Usuário pode contatar a Drilldown nos contatos indicados no site (por exemplo, no endereço de e-mail de suporte fornecido). A Drilldown poderá contatar o Usuário nos contatos (e-mail, endereço) fornecidos no momento do registro.
Partes: O presente Acordo de Tratamento de Dados é celebrado entre:
Controlador do tratamento (doravante "Controlador"): o profissional (pessoa física ou jurídica) que utiliza o módulo nutrition e determina as finalidades e os meios do tratamento dos dados pessoais dos pacientes;
Operador do tratamento (doravante "Operador"): a empresa fornecedora do módulo nutrition (ex.: plataforma de software/CRM), que trata os dados pessoais em nome do Controlador.
1.1 Objeto
Nos termos do art. 28 do Regulamento (UE) 2016/679 (GDPR), este acordo disciplina o tratamento de dados pessoais que o Operador realiza em nome do Controlador no âmbito do módulo nutrition do serviço fornecido ao Controlador. Em particular, o Operador tratará os dados inseridos pelo Controlador no CRM (nome, sobrenome, contatos, dados nutricionais dos pacientes, etc.) exclusivamente para fornecer as funcionalidades do módulo nutrition e em conformidade com as instruções do Controlador (ver Seção 6). O tratamento de dados pessoais ocorrerá de acordo com as operações permitidas pelo art. 4(2) do GDPR, tais como recolha, registo, organização, conservação, consulta, uso, modificação, eliminação, etc., necessárias para prestar o serviço.
1.2 Duração
A duração do presente acordo coincide com a duração da relação contratual entre Controlador e Operador relativa ao uso do módulo nutrition. O acordo permanece em vigor enquanto o Operador tratar dados pessoais em nome do Controlador. Em caso de cessação do serviço principal (ex.: cancelamento da conta ou término do contrato de serviço), aplicar-se-ão as disposições sobre restituição/eliminação dos dados previstas na Seção 10. O Controlador tem a faculdade de resolver, com efeito imediato, este acordo em caso de violação grave, pelo Operador, das normas de proteção de dados ou das obrigações aqui previstas. Permanece resguardado o direito de cada parte de solicitar indenização por eventuais danos decorrentes da violação do acordo.
O Operador fornece ao Controlador uma plataforma de software (módulo nutrition) em modo Software as a Service para a gestão da atividade nutricional dos pacientes. A finalidade do tratamento é permitir ao Controlador arquivar e processar informações sobre seus pacientes a fim de oferecer aconselhamento nutricional personalizado, elaborar planos alimentares, acompanhar a evolução do peso e outros parâmetros de saúde, bem como gerir comunicações com os pacientes e os respectivos agendamentos. Tais funcionalidades enquadram-se nas práticas médicas/nutricionais geridas pelo software, de forma análoga a serviços digitais de saúde para gestão de prontuários e planos de cuidado.
Na prática, a natureza do tratamento realizado compreende todas as operações necessárias à prestação do serviço do módulo nutrition, incluindo a recolha, a organização, a consulta, a modificação, o salvamento, a extração, a comunicação ao próprio Controlador, a eliminação ou destruição dos dados inseridos no sistema, segundo as instruções do Controlador. O Operador não utilizará os dados para finalidades próprias além das acordadas, nem os comunicará a terceiros salvo por instrução do Controlador ou obrigação legal (conforme detalhado adiante).
No âmbito do módulo nutrition, o Operador tratará, em nome do Controlador, as seguintes categorias de dados pessoais relativos aos pacientes do Controlador:
Dados cadastrais e de contato: nome, sobrenome, endereço de e-mail, data e local de nascimento, números de telefone e eventuais endereços (ex.: para contactar o paciente).
Dados nutricionais/de saúde: informações sobre o estado de saúde e hábitos alimentares do paciente, por exemplo preferências ou restrições nutricionais (dietas específicas, alergias alimentares, opções vegetarianas/veganas, etc.), dados de acompanhamento de peso e parâmetros antropométricos ou de saúde semelhantes, bem como eventuais notas sobre o estilo de vida relevantes para a nutrição. Tais informações enquadram-se entre os dados pessoais relativos à saúde nos termos do art. 4(15) do GDPR e/ou podem indiretamente revelar convicções de natureza religiosa ou filosófica (ex.: escolhas alimentares), constituindo categorias especiais de dados nos termos do art. 9 do GDPR. Consequentemente, tanto o Controlador quanto o Operador comprometem-se a adotar as precauções e medidas de segurança necessárias previstas na legislação para proteger esses dados sensíveis.
As categorias de titulares cujos dados são tratados em execução deste acordo são: os pacientes (clientes) do Controlador, pessoas físicas que recebem aconselhamento nutricional ou outros serviços do Controlador e cujos dados pessoais são inseridos no módulo nutrition.
O Controlador compromete-se a:
Licitude e transparência: Garantir que os dados pessoais dos pacientes confiados ao Operador sejam recolhidos e tratados licitamente (por exemplo, obtendo, quando necessário, o consentimento informado do paciente ou outra base jurídica válida nos termos do art. 6 do GDPR) e que os titulares tenham sido devidamente informados sobre as finalidades e modalidades do tratamento, em conformidade com os arts. 13 e 14 do GDPR. O Controlador permanece responsável perante os titulares pelo cumprimento das obrigações legais em relação a esses dados.
Instruções documentadas: Fornecer ao Operador instruções documentadas, claras e atualizadas sobre o tratamento dos dados (por exemplo, por meio deste acordo e eventuais políticas ou indicações operacionais). Quaisquer instruções adicionais ou alterações às instruções iniciais deverão ser comunicadas por escrito (inclusive via e-mail PEC ou sistema eletrônico de ticketing) e conservadas como referência. O Operador tratará os dados apenas de acordo com as instruções recebidas. Caso, a juízo do Operador, uma instrução do Controlador viole a legislação de privacidade, o Operador informará imediatamente o Controlador (ver também Seção 6).
Supervisão e auditoria: Verificar, antes do início e depois regularmente, se o Operador oferece garantias suficientes em termos de medidas técnicas e organizacionais adequadas à proteção dos dados confiados, e se cumpre as disposições deste acordo. O Controlador tem o direito de realizar ou mandar realizar auditorias periódicas (ex.: anuais) e inspeções, mediante aviso prévio razoável, sobre as atividades do Operador relacionadas aos dados confiados, para verificar o cumprimento das normas de proteção de dados e das instruções acordadas. O Operador compromete-se a cooperar, fornecendo informações ou acesso razoável às infraestruturas, dentro dos limites acordados (ver Seções 6 e 8 para detalhes sobre auditorias e subfornecedores).
Comunicação de irregularidades: Informar prontamente o Operador caso detecte erros, inconsistências ou violações nas modalidades de tratamento realizadas pelo Operador que possam acarretar não conformidade com este acordo ou com as normas de privacidade vigentes. As partes cooperarão para corrigir prontamente quaisquer irregularidades identificadas.
Confidencialidade das informações: Tratar como estritamente confidenciais todas as informações relativas às medidas de segurança, aos sistemas e aos segredos comerciais do Operador de que venha a ter conhecimento no âmbito da relação contratual. Tal obrigação de confidencialidade permanece válida mesmo após a cessação deste acordo.
Gestão dos pedidos dos titulares: O Controlador continua responsável por responder aos pedidos de exercício de direitos apresentados por seus pacientes (acesso, retificação, eliminação, oposição, portabilidade, etc. – Capítulo III do GDPR). Caso o Operador receba diretamente comunicações ou pedidos de um titular relativos aos dados objeto deste acordo, deverá encaminhá-los imediatamente ao Controlador sem lhes dar seguimento por conta própria, salvo autorização específica. O Controlador fornecerá ao Operador as instruções necessárias para atender a tais pedidos, considerando que o Operador assistirá o Controlador na medida prevista em lei (ver Seção 6).
O Operador compromete-se a cumprir todas as obrigações previstas no art. 28 do GDPR. Em particular, sem prejuízo das obrigações detalhadas em outras partes deste acordo, o Operador deve:
Tratar apenas mediante instruções: tratar os dados pessoais exclusivamente com base em instrução documentada do Controlador. Isso também se aplica a eventuais transferências de dados para países terceiros ou organizações internacionais: tais operações não são permitidas ao Operador sem instrução/autorização prévia do Controlador (ver também Seção 9), salvo se uma norma da União ou de um Estado-Membro impuser ao Operador um determinado tratamento; nesse caso, o Operador informará o Controlador dessa obrigação jurídica antes do tratamento, a menos que a lei proíba tal comunicação por motivos importantes de interesse público.
Confidencialidade do pessoal: garantir que as pessoas por ele autorizadas a tratar dados pessoais (seus próprios empregados ou eventuais colaboradores) tenham recebido instruções adequadas sobre o cumprimento da legislação de privacidade e se tenham comprometido contratualmente com a confidencialidade (ou estejam sujeitas a uma obrigação legal apropriada de confidencialidade). O Operador velará para que qualquer pessoa que atue sob sua autoridade e tenha acesso aos dados pessoais do Controlador não os trate senão mediante instrução do próprio Controlador. Tal obrigação de confidencialidade permanece também após o término deste acordo.
Segurança dos dados: adotar e manter medidas técnicas e organizacionais adequadas nos termos do art. 32 do GDPR para garantir um nível de segurança apropriado ao risco dos tratamentos confiados. Tais medidas incluem, entre outras, a pseudonimização e a criptografia dos dados pessoais (quando apropriado), sistemas de controlo de acesso e autenticação, a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência dos sistemas e serviços de tratamento, bem como a capacidade de restabelecer prontamente o acesso aos dados em caso de incidentes físicos ou técnicos. O Operador adotará procedimentos para testar, verificar e avaliar regularmente a eficácia das medidas técnicas e organizacionais implementadas (ver também a Seção 7 abaixo para mais detalhes sobre as medidas de segurança).
Limitações de uso: não utilizar os dados pessoais fornecidos pelo Controlador para finalidades próprias e não efetuar cópias ou duplicações dos dados senão quando necessárias para a prestação do serviço e, em qualquer caso, mediante consentimento/instrução do Controlador. O Operador garante manter os dados tratados para o Controlador logicamente ou fisicamente separados dos de outros clientes ou de suas próprias bases de dados, a fim de evitar misturas.
Subprocessadores: não confiar a suboperadores (sub-processors) a execução de atividades específicas de tratamento em nome do Controlador sem autorização prévia (escrita) deste últimohttps://www.privacy-regulation.eu/it/28.htm. Em caso de autorização para uso de suboperadores (ver Seção 8 para detalhes), o Operador deverá impor a esses sujeitos as mesmas obrigações em matéria de proteção de dados pessoais previstas neste acordo e permanecerá plenamente responsável perante o Controlador pelo cumprimento, por parte do suboperador, das suas obrigações.
Assistência ao Controlador: tendo em conta a natureza do tratamento e as informações à disposição, assistir o Controlador no cumprimento das suas obrigações em matéria de proteção de dados. Em particular, o Operador prestará apoio adequado ao Controlador para que este possa satisfazer os pedidos de exercício dos direitos dos titulares (direito de acesso, retificação, eliminação, oposição, portabilidade, etc.), por exemplo disponibilizando funcionalidades do software que permitam ao Controlador extrair, retificar ou eliminar os dados dos pacientes mediante solicitação. Além disso, o Operador assistirá o Controlador a garantir o cumprimento das obrigações de segurança dos dados e, se aplicável, de notificação de eventuais violações de dados pessoais às autoridades de controlo ou aos titulares, nos termos dos arts. 32-34 do GDPR (por exemplo, fornecendo prontamente ao Controlador as informações relativas a um data breach para permitir a notificação em até 72 horas, ver também o ponto seguinte). Da mesma forma, o Operador cooperará com o Controlador caso seja necessária uma avaliação de impacto sobre a proteção de dados (DPIA) ou consultas prévias à autoridade de controlo nos termos dos arts. 35-36 do GDPR, fornecendo as informações sob sua responsabilidade.
Notificação de violações: informar imediatamente o Controlador em caso de violações de segurança ou incidentes (ex.: acessos não autorizados, perda, destruição ou divulgação acidental de dados pessoais) relativos aos dados tratados em nome do Controlador. Tal comunicação deverá incluir todas as informações de que o Operador tenha conhecimento e que sejam úteis ao Controlador para avaliar a gravidade do evento e cumprir eventuais obrigações de notificação à Autoridade de Proteção de Dados e/ou de comunicação aos titulares nos termos dos arts. 33 e 34 do GDPR. O Operador compromete-se a apoiar o Controlador nas atividades de análise e gestão do incidente e na elaboração das respectivas notificações ou comunicações, segundo as instruções do Controlador.
Prova de conformidade e auditoria: disponibilizar ao Controlador todas as informações necessárias para demonstrar o cumprimento das obrigações previstas neste acordo. A pedido do Controlador, o Operador fornecerá documentação que comprove as medidas de segurança implementadas (ex.: certificações, relatórios de auditorias internas/externas, atestados de conformidade) e facilitará a realização de inspeções ou verificações pelo Controlador ou por alguém por ele encarregado. As modalidades de auditoria (prazos, extensão, medidas de segurança para proteger os dados de outros clientes, etc.) serão acordadas entre as partes, respeitando as necessidades recíprocas.
Comunicação de instruções conflitantes: caso o Operador entenda que uma instrução dada pelo Controlador viola o GDPR ou outras disposições legais em matéria de proteção de dados, deverá informar prontamente o Controlador antes de executar tal instrução, podendo suspender sua aplicação até confirmação ou alteração por parte do Controlador (conforme permitido pelo art. 28(3) do GDPR).
O Operador declara ter adotado medidas técnicas e organizacionais adequadas para garantir um nível de segurança apropriado ao risco dos tratamentos efetuados, em conformidade com o art. 32 do GDPR. A seleção dessas medidas foi feita levando em consideração o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas físicas. Em especial, o Operador implementa medidas como:
Controlo de acesso: acesso aos dados pessoais permitido apenas a pessoal autorizado para finalidades estritamente necessárias; adoção de sistemas de autenticação segura para usuários e administradores (ex.: senhas fortes, autenticação de dois fatores).
Criptografia e pseudonimização: uso de protocolos de criptografia para proteger os dados pessoais durante a transmissão (ex.: HTTPS/TLS) e, quando possível, criptografia dos dados em repouso em servidores ou backups. Eventual pseudonimização dos dados identificativos dos pacientes em análises agregadas, de modo que não possam ser atribuídos a pessoas físicas específicas sem informações adicionais.
Integridade e disponibilidade: sistemas regulares de backup dos dados e procedimentos de restauração para assegurar a disponibilidade e o acesso aos dados pessoais em tempo rápido em caso de incidentes físicos ou técnicos. Uso de medidas antimalware, firewalls e monitorização para prevenir acessos não autorizados ou perda de dados.
Testes e monitorização: verificação periódica da eficácia das medidas de segurança adotadas, por meio de auditorias internas, testes de vulnerabilidade, monitoramento dos logs de segurança e, quando aplicável, correção tempestiva de eventuais pontos fracos identificados.
As medidas de segurança adotadas pelo Operador são descritas com mais detalhe em documentação técnica específica (ex.: anexo sobre Medidas Técnicas e Organizacionais), que pode ser fornecida ao Controlador mediante solicitação e que se entende como parte integrante deste acordo. O Operador garante manter tais medidas atualizadas para adequá-las à evolução dos riscos e das melhores práticas de segurança, notificando o Controlador sobre eventuais alterações substanciais que possam impactar a proteção dos dados confiados.
O Operador poderá envolver outros sujeitos como suboperadores do tratamento (subfornecedores) apenas mediante autorização do Controlador. A autorização pode ser específica para um único suboperador ou geral para categorias de suboperadores (por exemplo, fornecedores de hosting, serviços de e-mail, etc.) conhecidos no momento da celebração: neste último caso, o Operador informará de qualquer previsão de adição ou substituição desses suboperadores, dando ao Controlador a possibilidade de se opor a tais mudanças antes que o suboperador inicie o tratamento dos dados.
Eventuais suboperadores autorizados serão vinculados por escrito pelo Operador por meio de contrato que imponha pelo menos as mesmas obrigações em matéria de proteção de dados pessoais previstas neste acordo, incluindo em especial garantias adequadas de segurança e confidencialidade. O Operador permanece plenamente responsável perante o Controlador pelo cumprimento das obrigações a cargo dos suboperadores que venha a nomear; se um suboperador violar suas obrigações, o Operador responderá diretamente perante o Controlador por qualquer inadimplemento.
O tratamento dos dados pessoais objeto deste acordo ocorrerá exclusivamente em infraestruturas (servidores, data centers) situadas em territórios da União Europeia ou do Espaço Econômico Europeu. Não está prevista qualquer transferência dos dados pessoais para países terceiros (fora do EEE) por parte do Operador, salvo o que eventualmente for necessário para o uso de suboperadores autorizados pelo Controlador conforme a Seção 8. Em qualquer caso, qualquer transferência de dados para um país terceiro ou uma organização internacional por parte do Operador (ou de seus suboperadores) somente poderá ocorrer em conformidade com o disposto no Capítulo V do GDPR. Em particular, deverá ser obtida a autorização prévia do Controlador e deverão existir as condições previstas nos arts. 44 e seguintes do GDPR, por exemplo com base numa decisão de adequação da Comissão Europeia ou por meio da adoção de cláusulas contratuais padrão aprovadas pela Comissão, regras corporativas vinculativas ou outras garantias adequadas. O Operador informará o Controlador sobre as modalidades e bases jurídicas da transferência proposta para que o Controlador possa avaliar e conceder (ou negar) a autorização.
Na cessação, por qualquer motivo, da relação de serviço entre as partes relativa ao módulo nutrition (por exemplo, em caso de rescisão ou expiração do contrato principal, ou de suspensão definitiva do serviço pelo Operador), o Operador cessará qualquer tratamento ulterior de dados pessoais realizado em nome do Controlador. Mediante escolha do Controlador, comunicada por escrito no momento da cessação do contrato ou dentro de um prazo acordado, o Operador procederá à restituição de todos os dados pessoais tratados em nome do Controlador (por exemplo, por exportação em formato interoperável) ou à eliminação definitiva de todos esses dados de seus sistemas. Em qualquer caso, o Operador eliminará eventuais cópias existentes dos dados (incluindo cópias de backup), salvo na medida em que a conservação dos dados seja exigida pela legislação da União ou dos Estados-Membros aplicável ao Operador (nesse caso, o Operador comunicará ao Controlador os dados e a legislação que impõem a conservação, tratando-os apenas para essa finalidade de conservação legal). A eliminação realizada a pedido será comprovada por escrito pelo Operador mediante solicitação.
Permanecem válidas mesmo após a cessação do acordo as obrigações de confidencialidade assumidas pelo Operador e pelo pessoal autorizado durante sua vigência. O Operador também garante que, em caso de cessação, eventuais suboperadores nomeados serão vinculados às mesmas obrigações de restituição/eliminação dos dados pessoais do Controlador.
