Sobre a Lei Geral de
Proteção de Dados (LGPD)

CAPÍTULO I - DEFINIÇÕES

Para fins do disposto neste Código, deverão ser considerados os seguintes conceitos:

1. “Anonimização” significa a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
2.  “ANPD” significa o órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD e demais leis de proteção de dados no Brasil;
3. “Contrato Principal” significa instrumento que rege os principais aspectos da relação jurídica estabelecida entre as Partes, como contratos de prestação de serviços, fornecimento de produtos, parcerias, etc.;
4. “Dado pessoal” significa toda informação relacionada a pessoa natural identificada ou identificável;
5. “Dado pessoal sensível” significa todo dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
6. “Dados Transferidos” significa dados compartilhados entre as partes por qualquer meio admissível;
7. “Empresas do Grupo CCG” significa as seguintes pessoas jurídicas: (i) Centro Gaúcho de Medicina Ocupacional Ltda., registrada no CNPJ sob o nº 16.887.673/0001-45; (ii) Hospital CCG Saude Ltda., registrada no CNPJ sob o nº 01.890.028/0001-04; e (iii) Laboratório Marques D’Almeida Ltda., registrada no CNPJ sob o nº 92.807.452/0001-06.
8. “Lei Geral de Proteção de Dados” ou “LGPD” significa a Lei Federal nº 13.709 de 18 de agosto de 2018, ou outra que venha a substituí-la.
9. “Legislação de Proteção de Dados” significa toda e qualquer lei, norma ou regulamento aplicável ao tratamento de dados pessoais a ser realizado, incluindo, mas não se limitando à legislação brasileira ou estrangeira.
10. “Medidas de segurança técnicas e organizacionais” significa as medidas destinadas a garantir um nível de segurança adequado ao risco, incluindo a pseudominização e encriptação de dados pessoais, a capacidade de garantir a confidencialidade, integridade, disponibilidade e resiliência dos sistemas e serviços de processamento, a capacidade de restaurar a disponibilidade e o acesso a dados pessoais em tempo hábil no caso de um incidente físico ou técnico, um processo para testar e avaliar a eficácia de medidas técnicas e organizacionais para garantir a segurança do processamento.
11. “SubOperadora” ou “Terceiro”, significa qualquer entidade contratada pelo Fornecedor que concorde em receber, do CCG, os Dados Pessoais exclusivamente destinados para atividades de Tratamento permitidas em conformidade com as instruções deste Contrato
12. “Titular” é a pessoa natural a quem se referem os Dados Pessoais que são objeto de Tratamento; 
13. “Tratamento”: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

Outros termos terão o significado atribuído a eles na LGPD e qualquer outra norma sobre proteção de Dados aplicáveis à proteção de indivíduos com relação ao tratamento de Dados Pessoais decorrentes da relação comercial existente entre as Partes.

CAPÍTULO II - CCG COMO CONTROLADOR

Existem situações em o CCG e as Empresas do Grupo CCG atuarão como Controladores de Dados Pessoais, de acordo com a definição do artigo 5º, VI da LGPD. Nesses casos, a relação entre o Fornecedor e o CCG e as Empresas do Grupo CCG deverão ser regidas de acordo com o Capítulo 2 deste instrumento.

O Parceiro deverá realizar o tratamento de dados pessoais e dados pessoais sensíveis exclusivamente de acordo com o determinado no presente instrumento e/ou por solicitação do CCG e das Empresas do Grupo CCG, sendo expressamente vedado o tratamento de dados fornecidos pelo CCG e das Empresas do Grupo CCG ou gerados em decorrência do presente instrumento para outros fins, ainda que anonimizados, sem a prévia, expressa e individualizada autorização do CCG e das Empresas do Grupo CCG.

Caso seja autorizado o tratamento de dados para outros fins, o que deverá ocorrer exclusivamente mediante anonimização dos dados, o Parceiro deverá solicitar prévia e expressamente a autorização do CCG e das Empresas do Grupo CCG e responsabilizar-se-á por eventuais danos causados por reversão da anonimização.

O Parceiro deverá manter registros, referentes aos dados pessoais e dados pessoais sensíveis no âmbito deste instrumento:

(a) das operações de tratamento de dados pessoais e dados pessoais sensíveis realizadas no âmbito do presente instrumento.

(b) de transferências internacionais de dados a países terceiros.

(c) de medidas técnicas e organizacionais que garantam a segurança dos dados pessoais e dados pessoais sensíveis objeto de tratamento no âmbito deste instrumento, especialmente no que se refere à pseudonimização e anonimização, confidencialidade, integridade e disponibilidade dos dados.

(d) mecanismos de controle sobre acesso e eliminação de dados.

O Parceiro deverá adotar padrões de segurança da informação internacionalmente reconhecidos, incluindo-se, mas não se limitando a sistemas de confirmação de senhas, criptografia, entre outros meios, incluindo-se, mas não se limitando aqueles descritos em normas legais e regulamentares, além de realizar revisões e atualizações periódicas com este fim.

Eventuais incidentes de proteção de dados pessoais decorrentes de vulnerabilidades do produto/serviço deverão ser informados ao CCG e das Empresas do Grupo CCG, ainda que sem envolvimento de dados relacionados ao objeto do presente instrumento, para fins de estabelecidmento de uma relação de transparência e controle de riscos. Tal comunicação deverá ser acompanhada de informações complementares sobre medidas tomadas pelo Parceiro e eventuais orientações. 

O Parceiro deverá adotar medidas de governança, incluindo, mas não se limitando a atribuição de papéis e responsabilidades aos profissionais envolvidos na governança e gestão de dados, relatórios de impactos de proteção de dados sobre os produtos/serviços utilizados pelo CCG e das Empresas do Grupo CCG no presente instrumento e a nomeação de um Encarregado de Proteção de Dados.

A qualquer momento, o CCG e das Empresas do Grupo CCG  poderão solicitar o auxílio do Parceiro para a elaboração de relatórios de impacto de proteção de dados pessoais, avaliação de riscos a dados pessoais e/ou dados pessoais sensíveis, responder questionamentos, intimações, citações ou ofícios de autoridade governamentais, titulares de dados ou entidades representativas, bem como garantir o exercício de direitos de titulares de dados, especialmente no que se refere a eliminação de dados.

Caso o Parceiro utilize serviços de terceiros para tratamento dos dados fornecidos pelo CCG e pelas Empresas do Grupo CCG ou gerados em decorrência do presente instrumento, o Parceiro deverá informar o CCG e as Empresas do Grupo CCG os dados qualificativos de todos os prestadores, e assegurar que estes adotam os mesmos padrões de segurança descritos neste instrumento, responsabilizando-se solidariamente em caso de danos causados a titulares dos dados e/ou ao Parceiro.

O Parceiro poderá subcontratar o Tratamento de Dados Pessoais através de Suboperadores, devendo observar os requisitos da Cláusula 2.6 e desde que notifique, por escrito, os dados do respectivo subcontratado ao CCG ou às Empresas do CCG. Se o CCG ou uma das Empresas do Grupo CCG apresentar qualquer oposição, desde que justificada, sobre a capacidade do Suboperador de tratar os Dados Pessoais conforme as normas aplicáveis, o Parceiro se comprometerá em cessar a subcontratação imediatamente e garantir que o Suboperador elimine os Dados Pessoais que foram objeto dos Tratamentos. O Parceiro será responsável pelos Tratamentos realizados por seus Suboperadores.

Caso o Parceiro contrate Suboperadores, o Parceiro deve fazê-lo somente por meio de um contrato por escrito com o subpoperador. Este contrato deverá prever um nível de proteção de Dados equivalente ou superior ao acordado entre as Partes no presente Contrato.

Mediante pedido escrito pelo CCG e as Empresas do Grupo CCG, o Parceiro informará ao CCG e as Empresas do Grupo CCG sobre o conteúdo essencial do contrato com o suboperador na medida em que se refira ao Tratamento dos Dados Transferidos, em particular, a implementação das medidas de segurança técnicas e organizacionais aplicadas pelo subcontratado.

Em caso de incidente de proteção de dados pessoais, o Parceiro deverá comunicar o CCG e as Empresas do Grupo CCG, no prazo máximo de 24 (vinte e quatro) horas contados do evento, provendo informações, relatórios técnicos, e outras formas de suporte solicitados pelo Parceiro, para fins de mitigação de danos e prejuízos, e/ou atendimento de autoridades competentes.

As informações fornecidas ao CCG e às Empresas do Grupo CCG deverão conter, minimamente:

(a)     Data e hora do incidente;

(b)     Relação dos tipos de dados afetados;

(c)      Número de titulares afetados e relação de titulares;

(d)     Dados de contato do Encarregado de Proteção de Dados;

(e)     Indicação das medidas de contenção de dados e reparação;

(f)      Descrição das possíveis consequências aos titulares de dados.

Caso o Parceiro não possua todas as informações em 24 (vinte e quatro) horas, poderá fornecê-las ao CCG e as Empresas do Grupo CCG gradualmente, na medida em que forem apuradas, mas em prazo não superior a 10 (dez) dias corridos.

O Parceiro deverá responsabilizar-se por eventuais falhas na prestação de serviços e informações fornecidas ao CCG e as Empresas do Grupo CCG, incluindo-se, mas não se limitando, a falhas de segurança que impliquem em prejuízos e multas impostas ao CCG e às Empresas do Grupo CCG, incluindo-se, mas não se limitando a ações de terceiros, tais como invasões e ataques de engenharia social, independentemente de culpa.

Em caso de compartilhamento internacional de dados, o que deverá ser realizado mediante prévia e expressa autorização do CCG e das Empresas do Grupo CCG, o Parceiro deverá informar ao CCG e as Empresas do Grupo CCG e assegurar que o receptor dos dados fornecidos pelo CCG e as Empresas do Grupo CCG ou gerados em decorrência do presente instrumento, responda por padrões de compliance de segurança de dados compatíveis com os exercidos no Brasil e atendam à legislação brasileira e demais normas setoriais aplicáveis ao objeto do presente instrumento, sob pena de responsabilidade solidária em caso de danos causados a titulares dos dados ou ao CCG e às Empresas do Grupo CCG.

Caso o Parceiro possa vir a ser considerado como controlador de dados nos termos da LGPD em razão do objeto do Contrato Principal e/ou da natureza dos serviços prestados ao CCG e às Empresas do Grupo CCG, deverá, por sua conta, risco e custos, estar e integral conformidade com a referida norma legal, isentado o CCG e as Empresas do Grupo CCG de qualquer dano e/ou prejuízo advindo de tratamento considerado irregular.

O Parceiro deverá informar a identidade e informações de contato de seu encarregado de tratamento de dados pessoais.

Caso o Parceiro, seja responsável pela gestão das operações de tratamentos de dados pessoais não diretamente controlados pelo CCG e as Empresas do Grupo CCG, deverá adotar todos os cuidados para adequar suas atividades aos fundamentos legais determinados na LGPD e demais normas aplicáveis, especialmente no que se refere à coleta e gestão de consentimentos dos titulares de dados pessoais.

Caso os Dados Transferidos estiverem sujeitos a busca e apreensão, a uma ordem de arresto, confisco durante o processo de falência, insolvência ou eventos e medidas similares por terceiros enquanto estiverem sendo Tratados pelo Parceiro, ele informará ao CCG e às Empresas do Grupo CCG sem atrasos indevidos. O Parceiro deverá, sem demora indevida, notificar todas as partes pertinentes dessa ação de que os Dados Transferidos afetados são de responsabilidade e disposição exclusiva do Parceiro.

Mediante o término da relação comercial, o Parceiro, a critério do CCG e as Empresas do Grupo CCG, devolverá todos os Dados Transferidos e suas cópias ao CCG e as Empresas do Grupo CCG ou destruirá os Dados Transferidos e atestará ao Provedor que o fez, a menos que a lei obrigatória imposta ao Parceiro o impeça de fazê-lo. Neste caso, o Parceiro garante que assegurará a confidencialidade dos Dados Transferidos e não tratará mais ativamente os Dados Transferidos.

CAPÍTULO III – CCG COMO OPERADOR

Existem situações em o CCG e as Empresas do Grupo CCG atuarão como Operadores de Dados Pessoais, de acordo com a definição do artigo 5º, VII da LGPD. Nesses casos, a relação entre o Parceiro e o CCG e as Empresas do Grupo CCG deverão ser regidas de acordo com o Capítulo 3 deste instrumento.

O CCG e as Empresas do Grupo CCG realizarão o tratamento de dados pessoais e dados pessoais sensíveis exclusivamente de acordo com o determinado no presente instrumento e/ou por solicitação do Parceiro, sendo expressamente vedado o tratamento de dados fornecidos pelo Parceiro ou gerados em decorrência do presente instrumento para outros fins.

O Parceiro reconhece que, a despeito de todos os esforços da CCG e as Empresas do Grupo CCG para realizar os tratamentos de dados necessários para a prestação dos serviços contratados, não há qualquer sistema permanentemente imune a ameaças ou vulnerabilidades. As Partes se comprometem a colaborar com o fim de manter os dados pessoais tratados em um ambiente seguro.

O CCG fica isento de toda e qualquer responsabilidade referente a prejuízos diretos ou indiretos e/ou sansões administrativas relacionados a incidentes de segurança da informação que se relacionem a violações de confidencialidade, integridade ou disponibilidade, ocasionados pelo Parceiro.

Em caso de incidente de proteção de dados pessoais, o CCG comunicará o Parceiro, provendo informações, relatórios técnicos, e outras formas de suporte solicitados pelo Parceiro, para fins de mitigação de danos e prejuízos, e/ou atendimento de autoridades competentes.

CAPÍTULO IV – RELAÇÃO ENTRE CONTROLADORES

Existem situações em o Parceiro e o CCG, ou as Empresas do Grupo CCG, atuarão como Controladores de Dados Pessoais, de acordo com a definição do artigo 5º, VI da LGPD. Nesses casos, a relação entre o Parceiro e o CCG e as Empresas do Grupo CCG deverão ser regidas de acordo com o Capítulo 4 deste instrumento.

O Parceiro e o CCG, ou as Empresas do Grupo CCG, reconhecem e confirmam que observarão todos os requisitos aplicáveis das Leis de Proteção de Dados, e, mediante solicitação, fornecerá à outra, a sua própria custa, assistência, informações e cooperação razoáveis para garantir o cumprimento de suas respectivas obrigações de acordo com as Leis de Proteção de Dados em relação aos Dados Pessoais.

O Parceiro e o CCG, ou as Empresas do Grupo CCG, concordam e garantem que: (i) os Dados Pessoais compartilhados, transferidos ou de qualquer forma disponibilizados para acesso e utilização, de acordo com este Contrato, foram coletados, transferidos e de qualquer forma tratados de acordo com as leis de privacidade e proteção de dados aplicáveis no Brasil;  (ii) conforme aplicável, dispõem de uma base legal apropriada para fins da coleta dos Dados Pessoais e posterior Tratamento, bem como em mantém registro das operações de tratamento de dados pessoais, especialmente quando baseado no legítimo interesse; (iii) garantem adotar todas as medidas técnicas de segurança e administrativas para proteção de dados pessoais de acessos não autorizados e de situações acidentais ou inadequadas, tais como destruição, perda, alteração, comunicação ou qualquer forma de tratamento ilícito; (iv) seus profissionais, representantes e prepostos que participem direta ou indiretamente do tratamento de dados pessoais agirão de acordo com as disposições do Contrato Principal, da LGPD e qualquer outra legislação aplicável; e (v) tomar medidas de segurança adicionais para transferência internacional de dados, se aplicável;

O Parceiro e o CCG, ou as Empresas do Grupo CCG, garantem cumprir com todos os princípios para Tratamento de Dados Pessoais estabelecidos pela LGPD, o que significa, dentre outros aspectos, que as PARTES apenas compartilharão, transferirão ou de qualquer outra forma disponibilizarão para acesso entre si os Dados Pessoais que são atualizados, exatos, pertinentes, proporcionais e não excessivos em relação às finalidades do Tratamento.

O Parceiro e o CCG, ou as Empresas do Grupo CCG, se comprometem a apresentar, quando solicitado por quaisquer das partes do contrato ou por autoridades competentes, todas as informações necessárias para comprovar o cumprimento das obrigações previstas na LGPD e no Contrato.

O Parceiro e o CCG, ou as Empresas do Grupo CCG, se comprometem, em caso de violação ou suspeita de violação das obrigações, controles ou medidas de segurança e vazamento de dados, que possam gerar consequência ou dano, a informar à outra parte no prazo a ser determinado pela ANPD ou, na sua ausência, em até 72 (setenta e duas) horas da ciência do fato, e indicar, ao menos, a natureza e categoria dos dados pessoais afetados; informações sobre os titulares atingidos; riscos identificados e medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

CAPÍTULO V - DA CONFORMIDADE E AUDITORIA

Caso o CCG e as Empresas do Grupo CCG figurem como Controladores de Dados Pessoais, o Parceiro declara estar ciente e autoriza, mediante prévia notificação, por prazo não superior a 24 (vinte e quatro horas), a condução de auditorias em seus sistemas e/ou procedimentos internos relacionados ao programa interno de privacidade e governança de dados pessoais. Este procedimento poderá ser conduzido pelo CCG e as Empresas do Grupo CCG, seus afiliados e parceiros, ou terceiros contratados para esta finalidade. Quando da realização deste procedimento, o Parceiro deverá garantir: (i) pleno acesso às instalações e arquivos de informações (físicos ou eletrônicos); e (ii) pleno apoio de seus funcionários para a condução das diligências necessárias. Na hipótese de identificação de inconsistências ou irregularidades quando da condução das auditorias, deverá o Parceiro providenciar a imediata remediação, comprovando ao CCG e às Empresas do Grupo CCG, em prazo não superior a 48 (quarenta e oito) horas, as medidas mitigadoras adotadas.

As Partes concordam que qualquer auditor ou empresa de segurança terceirizada que celebre um contrato com o Parceiro deverá (i) usar as informações confidenciais do Parceiro somente para fins de inspeção ou auditoria; (ii) manter as informações confidenciais do Parceiro (incluindo quaisquer informações relativas a seus outros clientes) como confidenciais; e (iii) tratar os Dados Pessoais em observância às regras aqui estabelecidas para o Tratamento de Dados pelo Parceiro.

A auditoria descrita nas cláusulas anteriores constitui mera faculdade do CCG e das Empresas do Grupo CCG e seu não exercício não constitui qualquer desobrigação ao Parceiro de adotar todas as medidas e cautelas inerentes às obrigações de adoção de Medidas de segurança técnicas e organizacionais descritas na LGPD e demais Legislações de Proteção de Dados eventualmente aplicáveis ao Parceiro.

Caso o CCG e as Empresas do Grupo CCG figurem como Operadores de Dados Pessoais, estes deverão, mediante solicitação por escrito do Parceiro, que atua como controlador de dados: (i) disponibilizar ao Parceiro informações que sejam razoavelmente necessárias para demonstrar conformidade com as obrigações de proteção de dados de acordo com o contrato firmado entre as partes; e (ii) permitir e contribuir em auditorias exclusivamente documentais, mas, em cada caso, apenas:

1. se tais informações e auditorias estiverem relacionadas aos Dados Pessoais do Contrato processados de acordo com este Contrato; e
2. na medida em que tais informações e auditorias estejam em conformidade com as Leis de Proteção de Dados.

CAPÍTULO VI - DOS DIREITOS DOS TITULARES

Sempre que necessário e o CCG figurar como Controlador de Dados Pessoais, deverá o Parceiro auxiliar o CCG e as Empresas do Grupo CCG no atendimento das requisições realizadas por titulares de dados, providenciando, de forma imediata, ou no máximo em 24 (vinte e quatro) horas, justificando os motivos da demora: (i) a confirmação da existência do tratamento; (ii) o acesso aos dados pessoais tratados; (iii) a correção dos dados pessoais incompletos, inexatos ou desatualizados; (iv) a anonimização, o bloqueio ou a eliminação dos dados pessoais; (v) a portabilidade dos dados pessoais; (vi) informação sobre as entidades públicas e privadas com as quais foi realizada o compartilhamento de dados; (vii) informar as consequências da revogação do consentimento; e (viii) informar os fatores que levaram a uma decisão automatizada. Caso eventuais informações a serem prestadas pelo Parceiro constituam segredo de negócio, esta deverá informar ao CCG fundamentadamente com o objetivo de esclarecimento ao titular de dados pessoais e eventuais autoridades.

CAPÍTULO VII - DA RESPONSABILIDADE

Nas hipóteses em que o CCG figurar como Controlador de Dados Pessoais, o Parceiro será responsável por quaisquer reclamações, perdas e danos, despesas processuais judiciais, administrativas e arbitrais, em qualquer instância ou tribunal, que venham a ser ajuizadas em face do CCG e das Empresas do Grupo CCG, multas, inclusive, mas não se limitando àquelas aplicadas pela ANPD, além de qualquer outra situação que exija o pagamento de valores pecuniários, quando os eventos que levarem a tais consequências decorrerem de: (i) descumprimento, pelo Parceiro, ou por terceiros por ele contratados, das disposições expostas neste instrumento; (ii) qualquer exposição acidental ou proposital de dados pessoais; (iii) qualquer ato do Parceiro ou de terceiros por ele contratados, em discordância com a legislação aplicável à privacidade e proteção de dados.

O Parceiro resguardará os interesses do CCG e das Empresas do Grupo CCG, prestando, inclusive, as garantias necessárias à sua eventual desoneração.

Nas demandas processuais administrativas, arbitrais, judiciais e extrajudiciais que tramitarem somente em face do Parceiro, este se obriga a notificar o CCG e as Empresas do Grupo CCG para que ele tenha conhecimento do processo.

Caso o CCG, ou as Empresas do Grupo CCG, tenha interesse, poderá ingressar no processo judicial como assistente litisconsorcial, nos termos do artigo 124 do Código de Processo Civil, hipótese em que todas as despesas processuais, correção monetária, juros e honorários advocatícios serão de inteira responsabilidade do Operador.

O CCG e as Empresas do Grupo CCG poderão denunciar à lide em face do Parceiro quando este, por qualquer motivo, não tenha sido parte do processo, nos termos dos artigos 125 e ss.. do Código de Processo Civil, hipótese em que o Parceiro assumirá, perante o juízo, integral responsabilidade pelos danos causados e despesas incorridas.

CAPÍTULO VIII - DA VIGÊNCIA

Este Código é aplicável pelo tempo que existir Tratamento, por qualquer das Partes, de Dados Transferidos decorrentes da relação comercial formalizada por um contrato apartado, memorial descritivo, pedido de compra ou qualquer outro meio utilizado para a formalização da relação comercial existente entre o CCG e o Parceiro, incluindo o verbal.

CAPÍTULO IX - DAS DISPOSIÇÕES FINAIS

Este Código rege-se pela legislação brasileira.

Fica desde já eleito o Foro da Comarca de Porto Alegre, Estado do Rio Grande do Sul, com exclusão de qualquer outro por mais privilegiado que seja, para dirimir dúvidas ou questões oriundas do presente contrato.