Esta Política de Proteção de Dados define como o Capital Markets Elite Group (UK) Limited ("a Empresa") lida com os dados pessoais de nossos clientes, fornecedores, funcionários, colaboradores e outros terceiros ("Titulares dos Dados"). Somos o controlador de dados de todos os dados pessoais relacionados aos Titulares dos Dados e dos dados pessoais usados em nossos negócios para nossos próprios fins comerciais.
Esta política se aplica a todos os dados pessoais (qualquer informação que identifique um Titular de Dados ou informações relacionadas a um Titular de Dados que possamos identificar (direta ou indiretamente) a partir desses dados isoladamente ou em combinação com outros identificadores que possuímos ou que podemos acessar de forma razoável) que a Empresa processa, independentemente da mídia na qual esses dados estão armazenados ou se estão relacionados a funcionários, trabalhadores, clientes ou contatos de fornecedores, acionistas, usuários do site ou qualquer outro Titular de Dados, antigos ou atuais.
Esta política se aplica a todos os funcionários, trabalhadores, contratados, trabalhadores de agências, consultores, diretores, membros e outros.
Você deve ler, entender e cumprir esta política ao processar dados pessoais em nome da Empresa e participar de treinamentos sobre seus requisitos. Esta política estabelece o que esperamos de você para que a Empresa cumpra a legislação aplicável. Sua conformidade com esta política é obrigatória. Qualquer violação desta política pode resultar em ação disciplinar.
Esta política é um documento interno e não pode ser compartilhada com terceiros, clientes ou órgãos reguladores sem autorização prévia do Gerente de Conformidade.
Esta política não faz parte de nenhum contrato de trabalho ou de serviços e podemos alterá-la a qualquer momento sem aviso prévio.
Esta Política não se sobrepõe a quaisquer leis e regulamentos nacionais de privacidade de dados aplicáveis nos países em que a Empresa opera.
Escopo
Reconhecemos que o tratamento correto e legal dos dados pessoais manterá a confiança na organização e proporcionará operações comerciais bem-sucedidas. Proteger a confidencialidade e a integridade dos dados pessoais é uma responsabilidade fundamental que levamos a sério em todos os momentos. A Empresa está exposta a possíveis multas por não cumprir as disposições do GDPR.
Todos os níveis de gerência são responsáveis por garantir a conformidade com esta Política e precisam implementar práticas, processos, controles e treinamento adequados para garantir essa conformidade.
Entre em contato com o Gerente de Conformidade em caso de dúvidas sobre a operação desta política ou sobre o Regulamento Geral de Proteção de Dados ou outras leis de proteção de dados ("GDPR") ou se tiver alguma preocupação de que esta Política não esteja sendo ou não tenha sido seguida. Em particular, você deve sempre entrar em contato com o Gerente de Conformidade nas seguintes circunstâncias:
- Se não tiver certeza da base legal na qual está se apoiando para processar dados pessoais (incluindo os interesses legítimos usados pela Empresa) (consulte a seção Legalidade e imparcialidade abaixo);
- Se você precisar confiar no consentimento e/ou precisar capturar o consentimento explícito;
- Se precisar redigir avisos de privacidade (consulte a seção sobre Transparência abaixo);
- Se tiver havido uma violação de dados pessoais (seção sobre Como relatar uma violação de dados pessoais abaixo);
- Se precisar de assistência para lidar com quaisquer direitos invocados por um Titular de Dados (consulte a seção
Direitos e solicitações do Titular de Dados); - sempre que estiver envolvido em uma nova atividade de processamento significativa ou em uma mudança na atividade de processamento que provavelmente exigirá uma Avaliação de Impacto na Proteção de Dados ("DPIA") (consulte a seção Privacidade desde a concepção e DPIAs abaixo) ou planeje usar dados pessoais para finalidades diferentes daquelas para as quais foram coletados;
- Se precisar de ajuda para cumprir a legislação aplicável ao realizar atividades de marketing direto (consulte a seção Marketing direto abaixo)
Princípios de proteção de dados pessoais
Aderimos aos princípios relacionados ao processamento de dados pessoais estabelecidos no GDPR, que estão definidos nesta política. Somos responsáveis e devemos ser capazes de demonstrar a conformidade com esses princípios.
Princípios de proteção de dados pessoais
Os dados pessoais devem ser processados de forma legal, justa e transparente em relação ao Titular dos Dados.
Você só pode coletar, processar e compartilhar dados pessoais de forma justa e legal e para fins específicos. O GDPR restringe nossas ações relativas a dados pessoais a finalidades legais especificadas. Essas restrições não se destinam a impedir o processamento, mas a garantir que processemos os dados pessoais de forma justa e sem afetar negativamente o Titular dos Dados.
- O GDPR permite o processamento para fins específicos, alguns dos quais estão descritos abaixo:
- o Titular dos Dados tenha dado seu consentimento;
- o processamento é necessário para a execução de um contrato com o Titular dos Dados;
- para cumprir nossas obrigações de conformidade legal;
- para proteger os interesses vitais do Titular dos Dados;
- para buscar nossos interesses legítimos para fins em que eles não sejam anulados porque o processamento prejudica os interesses ou os direitos e liberdades fundamentais dos Titulares dos Dados. As finalidades para as quais processamos dados pessoais para interesses legítimos precisam ser definidas nos avisos de privacidade aplicáveis.
Você deve identificar e documentar o fundamento legal utilizado para cada atividade de processamento
Consentimento
Um Controlador de Dados só deve processar dados pessoais com base em uma ou mais das bases legais estabelecidas no GDPR, que incluem o consentimento.
Um Titular de Dados consente com o processamento de seus dados pessoais se indicar claramente que concorda com o processamento, seja por meio de uma declaração ou de uma ação positiva. O consentimento exige uma ação afirmativa, portanto, o silêncio, caixas pré-marcadas ou inatividade provavelmente não serão suficientes. Se o consentimento for dado em um documento que trate de outros assuntos, o consentimento deverá ser mantido separado desses outros assuntos.
Os Titulares dos Dados devem poder retirar facilmente o consentimento para o processamento a qualquer momento e a retirada deve ser prontamente honrada. Talvez seja necessário renovar o consentimento se você pretender processar dados pessoais para uma finalidade diferente e incompatível que não tenha sido divulgada quando o Titular dos Dados consentiu pela primeira vez.
A menos que possamos nos basear em outra base legal de processamento, o consentimento explícito geralmente é exigido para o processamento de dados pessoais confidenciais, para a tomada de decisões automatizadas e para transferências de dados internacionais.
Geralmente, estaremos nos baseando em outra base legal (e não exigiremos consentimento explícito) para processar a maioria dos tipos de dados confidenciais. Quando o consentimento explícito (por escrito) for necessário, você deverá emitir um aviso de consentimento ao Titular dos Dados para obter o consentimento explícito.
Será necessário comprovar o consentimento obtido e manter registros de todos os consentimentos para que a Empresa possa demonstrar a conformidade com os requisitos de consentimento.
Transparência (notificação de titulares de dados)
O GDPR exige que os controladores de dados forneçam informações detalhadas e específicas aos Titulares dos Dados, dependendo se as informações foram coletadas diretamente dos Titulares dos Dados ou de outro lugar. Essas informações devem ser fornecidas por meio de avisos de privacidade apropriados, que devem ser concisos, transparentes, inteligíveis, facilmente acessíveis e em linguagem clara e simples para que o Titular dos Dados possa compreendê-los facilmente.
Sempre que coletarmos dados pessoais diretamente dos Titulares dos Dados, inclusive para fins de recursos humanos ou emprego, devemos fornecer ao Titular dos Dados todas as informações exigidas pelo GDPR, inclusive a identidade do controlador de dados, como e por que usaremos, processaremos, divulgaremos, protegeremos e reteremos esses dados pessoais por meio de um aviso de privacidade que deve ser apresentado quando o Titular dos Dados fornecer os dados pessoais pela primeira vez.
Quando os dados pessoais são coletados indiretamente (por exemplo, de um terceiro ou de uma fonte disponível publicamente), você deve fornecer ao Titular dos Dados todas as informações exigidas pelo GDPR o mais rápido possível após a coleta/recebimento dos dados. Você também deve verificar se os dados pessoais foram coletados pelo terceiro de acordo com o GDPR e em uma base que contemple nosso processamento proposto desses dados pessoais.
Limitação do objetivo
Os dados pessoais devem ser coletados somente para fins específicos, explícitos e legítimos. Eles não devem ser processados posteriormente de maneira incompatível com essas finalidades.
Você não pode usar os dados pessoais para finalidades novas, diferentes ou incompatíveis com as divulgadas quando foram obtidos pela primeira vez, a menos que tenha informado o Titular dos Dados sobre as novas finalidades e que ele tenha consentido, quando necessário.
Minimização de dados
Os dados pessoais devem ser adequados, relevantes e limitados ao que é necessário em relação às finalidades para as quais são processados.
Você só pode processar dados pessoais quando isso for necessário para o desempenho de suas funções. Você não pode processar dados pessoais por qualquer motivo que não esteja relacionado às suas obrigações profissionais.
Você só pode coletar dados pessoais necessários para suas funções: não colete dados em excesso. Certifique-se de que todos os dados pessoais coletados sejam adequados e relevantes para os fins pretendidos.
Você deve garantir que, quando os dados pessoais não forem mais necessários para os fins especificados, eles sejam excluídos ou tornados anônimos de acordo com as diretrizes de retenção de dados da Empresa.
Precisão
Os dados pessoais devem ser precisos e, quando necessário, mantidos atualizados. Quando estiverem incorretos, devem ser corrigidos ou excluídos sem demora.
Você garantirá que os dados pessoais que usamos e mantemos sejam precisos, completos, atualizados e relevantes para a finalidade para a qual foram coletados. Você deve verificar a precisão de todos os dados pessoais no momento da coleta e, posteriormente, em intervalos regulares. Você deve tomar todas as medidas razoáveis para destruir ou corrigir dados pessoais imprecisos ou desatualizados.
Limitação de armazenamento
Os dados pessoais não devem ser mantidos em um formato identificável por mais tempo do que o necessário para as finalidades para as quais os dados são processados.
Você não deve manter os dados pessoais em um formato que permita a identificação do Titular dos Dados por mais tempo do que o necessário para a finalidade ou finalidades comerciais legítimas para as quais os coletamos originalmente, inclusive para atender a quaisquer requisitos legais, contábeis ou de relatórios.
A Empresa manterá políticas e procedimentos de retenção para garantir que os dados pessoais sejam excluídos após um período razoável para os fins para os quais estavam sendo mantidos, a menos que uma lei exija que esses dados sejam mantidos por um período mínimo.
Você tomará todas as medidas razoáveis para destruir ou apagar de nossos sistemas todos os dados pessoais que não sejam mais necessários, de acordo com todos os cronogramas e políticas de retenção de registros aplicáveis da Empresa. Isso inclui exigir que terceiros excluam esses dados, quando aplicável.
Você garantirá que os Titulares dos Dados sejam informados sobre o período pelo qual os dados são armazenados e como esse período é determinado em qualquer aviso de privacidade aplicável.
Segurança, integridade e confidencialidade
Proteção de dados pessoais
Os dados pessoais devem ser protegidos por medidas técnicas e organizacionais apropriadas contra processamento não autorizado ou ilegal e contra perda, destruição ou dano acidental.
Desenvolveremos, implementaremos e manteremos proteções adequadas ao nosso tamanho, escopo e negócios, aos nossos recursos disponíveis, à quantidade de dados pessoais que possuímos ou mantemos em nome de terceiros e aos riscos identificados (incluindo o uso de criptografia e pseudonimização, quando aplicável). Avaliaremos e testaremos regularmente a eficácia dessas proteções para garantir a segurança do nosso processamento de dados pessoais. Você é responsável por proteger os dados pessoais que mantemos. Você deve implementar medidas de segurança razoáveis e adequadas contra o processamento ilegal ou não autorizado de dados pessoais e contra a perda acidental ou danos aos dados pessoais. Você deve exercer
cuidado especial na proteção de dados pessoais confidenciais contra perda e acesso, uso ou divulgação não autorizados.
Você deve seguir todos os procedimentos e tecnologias que implementamos para manter a segurança de todos os dados pessoais, desde o ponto de coleta até o ponto de destruição. Você só poderá transferir dados pessoais para prestadores de serviços terceirizados que concordem em cumprir as políticas e os procedimentos exigidos e que concordem em adotar medidas adequadas, conforme solicitado.
Você deve manter a segurança dos dados, protegendo a confidencialidade, a integridade e a disponibilidade dos dados pessoais, definidos da seguinte forma:
- Confidencialidade significa que somente as pessoas que precisam saber e estão autorizadas a usar os dados pessoais podem acessá-los.
- Integridade significa que os dados pessoais são precisos e adequados para a finalidade para a qual são processados.
- Disponibilidade significa que os usuários autorizados podem acessar os dados pessoais quando precisarem deles para fins autorizados.
Você deve cumprir e não tentar contornar as proteções administrativas, físicas e técnicas que implementamos e mantemos de acordo com o GDPR e os padrões relevantes para proteger os dados pessoais.
Comunicação de uma violação de dados pessoais
O GDPR exige que os controladores de dados notifiquem qualquer violação de dados pessoais ao órgão regulador aplicável e, em determinados casos, ao Titular dos Dados.
Uma "violação de dados pessoais" significa qualquer ato ou omissão que comprometa a segurança, a confidencialidade, a integridade ou a disponibilidade de dados pessoais ou as salvaguardas físicas, técnicas, administrativas ou organizacionais que nós ou nossos prestadores de serviços terceirizados colocamos em prática para protegê-los. A perda ou o acesso, a divulgação ou a aquisição não autorizados de dados pessoais é uma violação de dados pessoais.
Estabelecemos procedimentos para lidar com qualquer suspeita de violação de dados pessoais e notificaremos os Titulares dos Dados ou qualquer órgão regulador aplicável quando formos legalmente obrigados a fazê-lo.
Se você souber ou suspeitar da ocorrência de uma violação de dados pessoais, não tente investigar o assunto por conta própria. Entre em contato imediatamente com o Gerente de Conformidade em caso de violações de dados pessoais. Você deve preservar todas as evidências relacionadas à possível violação de dados pessoais.
Limitação de transferência
O GDPR restringe as transferências de dados para países fora do Espaço Econômico Europeu (EEE) a fim de garantir que o nível de proteção de dados oferecido aos indivíduos pelo GDPR não seja prejudicado. Você transfere dados pessoais originados em um país através das fronteiras quando transmite, envia, visualiza ou acessa esses dados em ou para um país diferente.
Você só poderá transferir dados pessoais para fora do EEE se uma das seguintes condições se aplicar:
- a Comissão Europeia emitiu uma decisão confirmando que o país para o qual transferimos os dados pessoais garante um nível adequado de proteção aos direitos e liberdades dos Titulares dos Dados;
- as salvaguardas adequadas estejam em vigor, como regras corporativas obrigatórias (BCR), cláusulas contratuais padrão aprovadas pela Comissão Europeia, um código de conduta aprovado ou um mecanismo de certificação, cuja cópia pode ser obtida com o Gerente de Conformidade;
- o Titular dos Dados tenha fornecido consentimento explícito para a transferência proposta após ter sido informado de quaisquer riscos potenciais; ou
- a transferência é necessária por um dos outros motivos estabelecidos no GDPR, incluindo a execução de um contrato entre nós e o Titular dos Dados, motivos de interesse público, para estabelecer, exercer ou defender reivindicações legais ou para proteger os interesses vitais do Titular dos Dados quando o Titular dos Dados for física ou legalmente incapaz de dar consentimento e, em alguns casos limitados, para nosso interesse legítimo.
Direitos e solicitações do titular dos dados
Os Titulares dos Dados têm direitos quando se trata de como lidamos com seus dados pessoais. Isso inclui os direitos de:
- retirar o consentimento para o processamento a qualquer momento;
- receber determinadas informações sobre as atividades de processamento do Controlador de Dados;
- solicitar acesso aos seus dados pessoais que mantemos;
- impedir nosso uso de seus dados pessoais para fins de marketing direto;
- solicitar que apaguemos os dados pessoais se eles não forem mais necessários em relação às finalidades para as quais foram coletados ou processados, ou para retificar dados imprecisos ou completar dados incompletos;
- restringir o processamento em circunstâncias específicas;
- contestar o processamento que tenha sido justificado com base em nossos interesses legítimos ou no interesse público;
- solicitar uma cópia de um contrato segundo o qual os dados pessoais são transferidos para fora do EEE;
- opor-se a decisões baseadas exclusivamente em processamento automatizado, inclusive criação de perfis;
- impedir o processamento que possa causar danos ou angústia ao Titular dos Dados ou a qualquer outra pessoa;
- ser notificado de uma violação de dados pessoais que provavelmente resultará em alto risco para seus direitos e liberdades;
- fazer uma reclamação à autoridade de supervisão; e
- em circunstâncias limitadas, receber ou solicitar que seus dados pessoais sejam transferidos a terceiros em um formato estruturado, comumente usado e legível por máquina.
Você deve verificar a identidade de um indivíduo que solicita dados de acordo com qualquer um dos direitos listados acima (não permita que terceiros o persuadam a divulgar dados pessoais sem a devida autorização).
Você deve encaminhar imediatamente qualquer solicitação do Titular dos Dados que receber ao Gerente de Conformidade.
Responsabilidade
O controlador de dados deve implementar medidas técnicas e organizacionais adequadas de maneira eficaz para garantir a conformidade com os princípios de proteção de dados. O controlador de dados é responsável por, e deve ser capaz de demonstrar, a conformidade com os princípios de proteção de dados.
A Empresa deve ter recursos e controles adequados para garantir e documentar a conformidade com o GDPR, inclusive:
- nomear um executivo responsável pela privacidade dos dados;
- implementar a privacidade desde a concepção ao processar dados pessoais e concluir avaliações de impacto na proteção de dados (DPIAs) quando o processamento apresentar um alto risco aos direitos e liberdades dos Titulares dos Dados;
- Integrar a proteção de dados em documentos internos, incluindo esta Política, quaisquer documentos relacionados ou avisos de privacidade;
- treiná-lo regularmente sobre o GDPR, políticas e procedimentos internos e questões de proteção de dados, incluindo, por exemplo, direitos do Titular dos Dados, consentimento, base legal, DPIA e violações de dados pessoais. A Empresa deve manter um registro da participação no treinamento de todas as pessoas que emprega e contrata; e
- Testar regularmente as medidas de privacidade implementadas e realizar revisões e auditorias periódicas para avaliar a conformidade, inclusive usando os resultados dos testes para demonstrar o esforço de melhoria da conformidade.
Manutenção de registros
O GDPR exige que mantenhamos registros completos e precisos de todas as nossas atividades de processamento de dados.
Você deve manter e conservar registros corporativos precisos que reflitam nosso processamento, inclusive registros de consentimentos dos Titulares dos Dados e procedimentos para obtenção de consentimentos.
Esses registros devem incluir, no mínimo, o nome e os detalhes de contato do controlador de dados, descrições claras dos tipos de dados pessoais, tipos de titulares de dados, atividades de processamento, finalidades de processamento, terceiros destinatários dos dados pessoais, locais de armazenamento de dados pessoais, transferências de dados pessoais, o período de retenção dos dados pessoais e uma descrição das medidas de segurança em vigor. Para criar esses registros, devem ser criados mapas de dados que incluam os detalhes definidos acima, juntamente com os fluxos de dados apropriados.
Treinamento e auditoria
Somos obrigados a garantir que você tenha passado por um treinamento adequado para que possa cumprir as leis de privacidade de dados. Também devemos testar regularmente nossos sistemas e processos para avaliar a conformidade.
Você deve passar por todos os treinamentos obrigatórios relacionados à privacidade de dados e garantir que sua equipe passe por treinamentos obrigatórios semelhantes.
Você deve revisar regularmente todos os sistemas e processos sob seu controle para garantir que estejam em conformidade com esta Política e verificar se os controles e recursos de governança adequados estão em vigor para garantir o uso adequado e a proteção dos dados pessoais.
Privacidade por design e dpias
Somos obrigados a implementar medidas de privacidade desde a concepção ao processar dados pessoais, implementando medidas técnicas e organizacionais apropriadas (como pseudonimização) de maneira eficaz, para garantir a conformidade com os princípios de privacidade de dados.
Você deve avaliar quais medidas de privacidade por design podem ser implementadas em todos os programas/sistemas/processos que processam dados pessoais, levando em conta o seguinte:
- o estado da arte;
- o custo de implementação;
- a natureza, o escopo, o contexto e as finalidades do processamento; e
- os riscos de probabilidade e gravidade variadas para os direitos e liberdades dos Titulares dos Dados decorrentes do processamento
Os controladores de dados também devem conduzir DPIAs em relação ao processamento de alto risco.
Você deve conduzir uma DPIA (e discutir suas descobertas com o Gerente de Conformidade) ao implementar grandes programas de mudança de sistema ou de negócios que envolvam o processamento de dados pessoais, inclusive:
- uso de novas tecnologias (programas, sistemas ou processos) ou alteração de tecnologias (programas, sistemas ou processos);
- Processamento automatizado, incluindo criação de perfil e tomada de decisão automatizada;
- processamento em larga escala de dados confidenciais; e
- monitoramento sistemático e em larga escala de uma área acessível ao público.
Uma DPIA deve incluir
- uma descrição do processamento, suas finalidades e os interesses legítimos do controlador de dados, se for o caso;
- uma avaliação da necessidade e da proporcionalidade do processamento em relação à sua finalidade;
- uma avaliação do risco para os indivíduos; e
- as medidas de mitigação de risco em vigor e a demonstração de conformidade.
Processamento automatizado (incluindo criação de perfil) e tomada de decisão automatizada (adm)
Em geral, a ADM é proibida quando uma decisão tem um efeito legal ou similar significativo sobre um indivíduo, a menos que:
- O Titular dos Dados consentiu explicitamente;
- o processamento é autorizado por lei; ou
- o processamento é necessário para a execução ou celebração de um contrato.
Se determinados tipos de dados confidenciais estiverem sendo processados, os fundamentos (b) ou (c) não serão permitidos, mas esses dados confidenciais poderão ser processados quando for necessário (a menos que meios menos intrusivos possam ser usados) para um interesse público substancial, como a prevenção de fraudes.
Se uma decisão for baseada exclusivamente em processamento automatizado (inclusive criação de perfil), os Titulares dos Dados deverão ser informados, na primeira vez que você se comunicar com eles, sobre o direito de objeção. Esse direito deve ser explicitamente levado ao conhecimento deles e apresentado de forma clara e separada de outras informações. Além disso, medidas adequadas devem ser implementadas para proteger os direitos e liberdades e os interesses legítimos do Titular dos Dados.
Também devemos informar o Titular dos Dados sobre a lógica envolvida na tomada de decisão ou criação de perfil, a importância e as consequências previstas e dar ao Titular dos Dados o direito de solicitar intervenção humana, expressar seu ponto de vista ou contestar a decisão.
Uma DPIA deve ser realizada antes da execução de qualquer processamento automatizado (inclusive criação de perfil) ou atividades de ADM.
Marketing direto
Estamos sujeitos a determinadas regras e leis de privacidade ao fazer marketing para nossos clientes.
Por exemplo, é necessário o consentimento prévio do Titular dos Dados para marketing direto eletrônico (por exemplo, por e-mail, texto ou chamadas automatizadas). A exceção limitada para clientes existentes, conhecida como "soft opt in", permite que as organizações enviem textos ou e-mails de marketing se tiverem obtido detalhes de contato no decorrer de uma venda para essa pessoa, se estiverem comercializando produtos ou serviços semelhantes e se tiverem dado à pessoa a oportunidade de recusar o marketing ao coletar os detalhes pela primeira vez e em todas as mensagens subsequentes.
O direito de se opor ao marketing direto deve ser explicitamente oferecido ao Titular dos Dados de maneira inteligível, de modo que seja claramente distinguível de outras informações.
A objeção de um Titular de Dados ao marketing direto deve ser prontamente atendida. Se um cliente optar por não participar em qualquer momento, seus detalhes deverão ser suprimidos o mais rápido possível. A supressão envolve a retenção de informações suficientes para garantir que as preferências de marketing sejam respeitadas no futuro.
Compartilhamento de dados pessoais
Em geral, não temos permissão para compartilhar dados pessoais com terceiros, a menos que certas salvaguardas e acordos contratuais tenham sido implementados.
Você só pode compartilhar os dados pessoais que mantemos com outro funcionário, agente ou representante do nosso grupo (que inclui nossas subsidiárias e nossa holding final, juntamente com suas subsidiárias) se o destinatário tiver uma necessidade relacionada ao trabalho de conhecer as informações e se a transferência estiver em conformidade com quaisquer restrições de transferência internacional aplicáveis.
Você só poderá compartilhar os dados pessoais que mantemos com terceiros, como nossos prestadores de serviços, se:
- eles têm a necessidade de conhecer as informações para fins de prestação dos serviços contratados;
- o compartilhamento dos dados pessoais esteja em conformidade com o Aviso de Privacidade fornecido ao Titular dos Dados e, se necessário, o consentimento do Titular dos Dados tenha sido obtido;
- o terceiro concordou em cumprir os padrões, as políticas e os procedimentos de segurança de dados exigidos e em implementar medidas de segurança adequadas;
- a transferência esteja em conformidade com todas as restrições de transferência internacional aplicáveis; e
tenha sido obtido um contrato por escrito totalmente executado que contenha cláusulas de terceiros aprovadas pelo GDPR.