RESOLUÇÃO CD/ANPD Nº 19, DE 23 DE AGOSTO DE 2024 (parte 4 de 4)

a) informar ao Titular o canal de atendimento disponibilizado pela Parte Designada; ou
b) encaminhar a solicitação para a Parte Designada o quanto antes, a fim de
viabilizar a resposta no prazo previsto no item 15.2.
15.5. As Partes deverão informar, imediatamente, aos Agentes de Tratamento com
os quais tenham realizado uso compartilhado de dados a correção, a eliminação, a
anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos
casos em que esta comunicação seja comprovadamente impossível ou implique esforço
desproporcional.
15.6. As Partes devem promover assistência mútua com a finalidade de atender às
solicitações dos Titulares.
CLÁUSULA 16. Comunicação de Incidente de Segurança
16.1. A Parte Designada deverá comunicar à ANPD e aos Titulares, no prazo de 3
(três) dias úteis, a ocorrência de incidente de segurança que possa acarretar risco ou dano
relevante para os Titulares, observado o disposto na Legislação Nacional.
16.2. O Importador deve manter o registro de incidentes de segurança nos termos
da Legislação Nacional.
CLÁUSULA 17. Responsabilidade e ressarcimento de danos
17.1. A Parte que, em razão do exercício da atividade de tratamento de Dados
Pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação às disposições
destas Cláusulas e da Legislação Nacional, é obrigada a repará-lo.
17.2. O Titular poderá pleitear a reparação do dano causado por quaisquer das
Partes em razão da violação destas Cláusulas.
17.3. A defesa dos interesses e dos direitos dos Titulares poderá ser pleiteada em
juízo, individual ou coletivamente, na forma do disposto na legislação pertinente acerca dos
instrumentos de tutela individual e coletiva.
17.4. A Parte que atuar como Operador responde, solidariamente, pelos danos
causados pelo tratamento quando descumprir as presentes Cláusulas ou quando não tiver
seguido as instruções lícitas do Controlador, ressalvado o disposto no item 17.6.
17.5. Os Controladores que estiverem diretamente envolvidos no tratamento do
qual decorreram danos ao Titular respondem, solidariamente, por estes danos, ressalvado o
disposto no item 17.6.
17.6. Não caberá responsabilização das Partes se comprovado que:
a) não realizaram o tratamento de Dados Pessoais que lhes é atribuído;
b) embora tenham realizado o tratamento de Dados Pessoais que lhes é atribuído,
não houve violação a estas Cláusulas ou à Legislação Nacional; ou
c) o dano é decorrente de culpa exclusiva do Titular ou de terceiro que não seja
destinatário de Transferência Posterior ou subcontratado pelas Partes.
17.7. Nos termos da Legislação Nacional, o juiz poderá inverter o ônus da prova a favor
do Titular quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção
de prova ou quando a produção de prova pelo Titular resultar-lhe excessivamente onerosa.
17.8. As ações de reparação por danos coletivos que tenham por objeto a
responsabilização nos termos desta Cláusula podem ser exercidas coletivamente em juízo,
observado o disposto na legislação pertinente.
17.9. A Parte que reparar o dano ao titular tem direito de regresso contra os demais
responsáveis, na medida de sua participação no evento danoso.
CLÁUSULA 18. Salvaguardas para Transferência Posterior
18.1. O Importador somente poderá realizar Transferências Posteriores dos
Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas
se expressamente autorizado, conforme as hipóteses e condições descritas na Cláusula 3.
18.2. Em qualquer caso, o Importador:
a) deve assegurar que a finalidade da Transferência Posterior é compatível com as
finalidades específicas descritas na Cláusula 2;
b) deve garantir, mediante instrumento contratual escrito, que as salvaguardas
previstas nestas Cláusulas serão observadas pelo terceiro destinatário da Transferência
Posterior; e
c) para fins destas Cláusulas, e em relação aos Dados Pessoais transferidos, será
considerado o responsável por eventuais irregularidades praticadas pelo terceiro destinatário
da Transferência Posterior.
18.3. A Transferência Posterior poderá, ainda, ser realizada com base em outro
mecanismo válido de Transferência Internacional de Dados previsto na Legislação Nacional,
independentemente da autorização de que trata a Cláusula 3.
CLÁUSULA 19. Notificação de Solicitação de Acesso
19.1. O Importador notificará o Exportador e o Titular sobre Solicitação de Acesso
relacionada aos Dados Pessoais objeto da Transferência Internacional de Dados regida por
estas Cláusulas, ressalvada a hipótese de vedação de notificação pela lei do país de tratamento
dos dados.
19.2. O Importador adotará as medidas legais cabíveis, incluindo ações judiciais,
para proteger os direitos dos Titulares sempre que houver fundamento jurídico adequado para
questionar a legalidade da Solicitação de Acesso e, se for o caso, a vedação de realizar a
notificação referida no item 19.1.
19.3. Para atender às solicitações da ANPD e do Exportador, o Importador deve
manter registro de Solicitações de Acesso, incluindo data, solicitante, finalidade da solicitação,
tipo de dados solicitados, número de solicitações recebidas e medidas legais adotadas.
CLÁUSULA 20. Término do tratamento e eliminação dos dados
20.1. As Partes deverão eliminar os Dados Pessoais objeto da Transferência
Internacional de Dados regida por estas Cláusulas após o término do tratamento, no âmbito e
nos limites técnicos das atividades, autorizada a conservação apenas para as seguintes
finalidades:
a) cumprimento de obrigação legal ou regulatória pelo Controlador;
b) estudo por Órgão de Pesquisa, garantida, sempre que possível, a anonimização
dos Dados Pessoais;
c) transferência a terceiro, desde que respeitados os requisitos previstos nestas
Cláusulas e na Legislação Nacional; e
d) uso exclusivo do Controlador, vedado seu acesso por terceiro, e desde que
anonimizados os dados.
20.2. Para fins desta Cláusula, considera-se que o término do tratamento ocorrerá
quando:
a) alcançada a finalidade prevista nestas Cláusulas;
b) os Dados Pessoais deixarem de ser necessários ou pertinentes ao alcance da
finalidade específica prevista nestas Cláusulas;
c) finalizado o período de tratamento;
d) atendida solicitação do Titular; e
e) determinado pela ANPD, quando houver violação ao disposto nestas Cláusulas
ou na Legislação Nacional.
CLÁUSULA 21. Segurança no tratamento dos dados
21.1. As Partes deverão adotar medidas de segurança que garantam proteção aos
Dados Pessoais objeto da Transferência Internacional de Dados regida por estas Cláusulas,
mesmo após o seu término.
21.2. As Partes informarão, na Seção III, as Medidas de Segurança adotadas,
considerando a natureza das informações tratadas, as características específicas e a finalidade
do tratamento, o estado atual da tecnologia e os riscos para os direitos dos Titulares,
especialmente no caso de dados pessoais sensíveis e de crianças e adolescentes.
21.3. As Partes deverão realizar os esforços necessários para adotar medidas
periódicas de avaliação e revisão visando manter nível de segurança adequado às
características do tratamento de dados.
CLÁUSULA 22. Legislação do país destinatário dos dados
22.1. O Importador declara que não identificou leis ou práticas administrativas do
país destinatário dos Dados Pessoais que o impeçam de cumprir as obrigações assumidas
nestas Cláusulas.
22.2. Sobrevindo alteração normativa que altere esta situação, o Importador
notificará, de imediato, o Exportador para avaliação da continuidade do contrato.
CLÁUSULA 23. Descumprimento das Cláusulas pelo Importador
23.1. Havendo violação das salvaguardas e garantias previstas nestas Cláusulas ou a
impossibilidade de seu cumprimento pelo Importador, o Exportador deverá ser comunicado
imediatamente, ressalvado o disposto no item 19.1.
23.2. Recebida a comunicação de que trata o item 23.1 ou verificado o
descumprimento destas Cláusulas pelo Importador, o Exportador adotará as providências
pertinentes para assegurar a proteção aos direitos dos Titulares e a conformidade da