Adendo de Processamento de Dados

1º de outubro de 2026

Este Adendo de Processamento de Dados (“DPA”) é celebrado entre o Host, conforme definido no Contrato (“Cliente”), e a Bending Spoons US Inc. (“Bending Spoons” ou “Operadora”). O Cliente e a Operadora podem ser referidos individualmente neste instrumento como “Parte” e, coletivamente, como “Partes”.

Considerando que:

1. O Cliente e a Bending Spoons Operations S.p.A. celebraram um contrato (o “Contrato”), segundo o qual esta última prestará serviços ao Cliente (“Serviços”).
2. Para prestar os Serviços, a Bending Spoons processará determinados dados pessoais na qualidade de operadora de dados em nome do Cliente. A Bending Spoons Operations S.p.A., por sua vez, atuará como suboperadora, processando dados pessoais de acordo com as instruções da Bending Spoons e exclusivamente para executar o Contrato. 

3. As Partes concordam que as Seções 2 a 10 deste DPA se aplicam a qualquer processamento de Dados Pessoais realizado pela Bending Spoons como operadora de dados. As atividades de processamento e os dados pessoais processados pela Operadora em nome do Cliente estão descritos no Anexo I deste DPA  (“Descrição do Processamento”).

4. As Partes concordam que a Seção 11 deste DPA se aplica às operações de processamento realizadas pela Bending Spoons em sua função de controladora autônoma e para seus próprios fins (conforme descrito com mais detalhes na Seção 11 deste DPA).
5. As Partes celebram este DPA, que fica incorporado ao Contrato, com o objetivo de garantir que cumpram a Legislação de Privacidade Aplicável e estabeleçam salvaguardas e procedimentos para o processamento lícito de dados pessoais.

Portanto, as Partes concordam com o seguinte: 

1. Definições

Quando usados neste DPA, os termos a seguir terão os seguintes significados.

1. “Decisão de Adequação” significa uma decisão juridicamente vinculante emitida pela Comissão Europeia que permite a transferência de Dados Pessoais do EEE para um terceiro país considerado adequado em termos de salvaguardas de proteção de dados.
2. “Contrato”, conforme definido no considerando A.
3. “Legislação de Privacidade Aplicável” significa todas as leis e regulamentações aplicáveis de proteção de dados, incluindo, entre outras, o Regulamento (UE) 2016/679 (“GDPR”) e a California Consumer Privacy Act, no Cal. Civ. Code § 1798.100 e seguintes, conforme alterada, e suas regulamentações de implementação (“CCPA”).
4. “Titular dos Dados” significa uma pessoa física identificada ou identificável a quem os Dados Pessoais se referem.
5. “Direitos dos Titulares dos Dados” significa os direitos aos quais os Titulares dos Dados têm direito nos termos da Legislação de Privacidade Aplicável, incluindo, entre outros, o direito de solicitar acesso, retificação ou exclusão de Dados Pessoais, de solicitar a limitação do Processamento referente ao Titular dos Dados ou de se opor ao Processamento, bem como o direito à portabilidade dos dados.
6. “EEE” significa o Espaço Econômico Europeu.
7. “Dados Pessoais” significa dados pessoais que a Operadora processa em nome do Cliente para prestar os Serviços.
8. “Violação de Dados Pessoais” significa uma violação de segurança que resulte na destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilícito a Dados Pessoais transmitidos, armazenados ou de outra forma processados.
9. “Processamento” significa qualquer operação ou conjunto de operações realizadas com Dados Pessoais ou conjuntos de Dados Pessoais, como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou disponibilização de qualquer outra forma, alinhamento ou combinação, limitação, exclusão ou destruição.
10. “Serviços” significa os serviços e atividades regulados pelo Contrato.
11. “Cláusulas Contratuais-Padrão” significa as cláusulas contratuais-padrão adotadas pela Comissão Europeia nos termos da Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, sobre cláusulas contratuais-padrão para a transferência de dados pessoais para países terceiros em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, disponíveis no seguinte link: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32021D0914&from=EN.
12. “Suboperadora” significa uma entidade contratada pela Operadora para auxiliá-la no processamento (ou que realize qualquer processamento) de Dados Pessoais no cumprimento das obrigações da Operadora nos termos do DPA.
13. “Mecanismos de Transferência” significa uma Decisão de Adequação emitida pela Comissão Europeia que permita a transferência de dados pessoais do EEE para um terceiro país cuja legislação interna ofereça um nível adequado de proteção de dados pessoais. Quando essa Decisão de Adequação não estiver disponível ou não for eficaz, essa definição significará as Cláusulas Contratuais-Padrão, bem como regras corporativas vinculantes (BCRs) aprovadas por uma Autoridade Supervisora competente.

2. Obrigações do Cliente
   1. O Cliente concorda que, para que a Operadora preste o Serviço, o Cliente deverá fornecer Dados Pessoais à Operadora.
   2. O Cliente é responsável por avaliar e garantir que o processamento de Dados Pessoais seja legítimo e esteja em conformidade com a Legislação de Privacidade Aplicável. 
   3. O Cliente declara e garante que possui uma base legal adequada para processar e divulgar Dados Pessoais à Operadora.
   4. O Cliente declara e garante que cumpre integralmente a Legislação de Privacidade Aplicável, indenizando a Operadora por todos os danos, custos e perdas incorridos em decorrência de qualquer violação, pelo Cliente, das disposições da Legislação de Privacidade Aplicável.  
   5. É responsabilidade do Cliente fornecer instruções por escrito à Operadora. O Cliente garante que quaisquer instruções fornecidas estão de acordo com a Legislação de Privacidade Aplicável. As instruções verbais dadas pelo Cliente à Operadora deverão ser confirmadas por escrito sem demora, mas, em qualquer caso, no máximo cinco (5) dias úteis após o fornecimento das instruções verbais.
3. Obrigações da Operadora

A Operadora concorda em:

1. Garantir a confidencialidade dos Dados Pessoais dos quais tomar conhecimento ou que receber no desempenho dos Serviços ou do Contrato e cumprir as instruções dadas pelo Cliente.
2. Processar Dados Pessoais somente de acordo com as instruções do Cliente, salvo quando a lei exigir o contrário.
3. Salvo quando expressamente permitido pela Legislação de Privacidade Aplicável, não reter, usar, divulgar ou de outra forma processar Dados Pessoais para qualquer finalidade que não aquelas especificadas no Contrato ou neste DPA.
4. Limitar a coleta, o uso, a retenção e a divulgação de Dados Pessoais às atividades razoavelmente necessárias e proporcionais para alcançar o processamento estabelecido neste DPA e no Contrato, e não processar os Dados Pessoais de maneira incompatível com essas finalidades.
5. Na medida em que a CCPA se aplique ao processamento de Dados Pessoais, salvo quando permitido de outra forma pela Legislação de Privacidade Aplicável, a Operadora não deverá: (i) “vender” ou “compartilhar” Dados Pessoais no sentido da CCPA; e (ii) reter, usar ou divulgar Dados Pessoais (a) para qualquer finalidade que não seja executar, apoiar e aprimorar o Serviço, ou (b) fora da relação comercial direta entre a Operadora e o Cliente. A Operadora notificará o Cliente se a Operadora determinar que não pode mais cumprir suas obrigações nos termos da CCPA.
6. De acordo com a Legislação de Privacidade Aplicável, implementar medidas operacionais, técnicas e organizacionais adequadas para garantir a confidencialidade, a integridade e a disponibilidade dos Dados Pessoais e eliminar ou, em qualquer caso, minimizar qualquer risco de destruição ou perda de dados, acidental ou não, e de processamento não autorizado ou não conforme, levando em consideração (1) o estado atual da técnica e o progresso técnico, (2) os riscos associados aos dados processados e (3) a natureza dos dados. A Operadora adotou pelo menos as medidas descritas na página Visão Geral da Segurança, disponível no seguinte link: https://support.streamyard.com/hc/en-us/articles/18795807558164-Security-Overview-Technical-and-Organizational-Measures. 
7. Cooperar com o Cliente e auxiliá-lo a garantir o cumprimento de suas obrigações nos termos da Legislação de Privacidade Aplicável, incluindo, entre outros, auxílio em avaliações de impacto à proteção de dados, auditorias e consultas a órgãos reguladores, levando em consideração a natureza do processamento e as informações disponíveis para a Operadora.
8. Identificar por escrito o pessoal autorizado a processar Dados Pessoais e fornecer-lhe instruções sobre as operações a serem realizadas em conformidade com as obrigações da Operadora nos termos deste DPA, garantindo que as instruções dadas sejam devidamente observadas e que o pessoal autorizado esteja sujeito a uma obrigação adequada de confidencialidade.
9. Cooperar de boa-fé com o Cliente para garantir a conformidade com este DPA, auxiliar o Cliente no cumprimento de suas obrigações nos termos da Legislação de Privacidade Aplicável e disponibilizar ao Cliente todas as informações necessárias para demonstrar a conformidade com a Legislação de Privacidade Aplicável.
10. Notificar o Cliente, salvo se legalmente proibida de fazê-lo, após tomar conhecimento de qualquer comunicação com a Autoridade Supervisora competente, tribunais, autoridades policiais ou outras autoridades públicas relacionada ao processamento de Dados Pessoais regulado por este DPA.
11. Informar imediatamente o Cliente quando, na opinião da Operadora, uma instrução recebida do Cliente violar a Legislação de Privacidade Aplicável.
12. Auxiliar o Cliente, com medidas técnicas e organizacionais adequadas, a cumprir todas as solicitações relativas aos Direitos dos Titulares dos Dados que o Cliente possa receber, nos termos da Seção 6 deste DPA.
13. Nomear um encarregado da proteção de dados, quando exigido pela Legislação de Privacidade Aplicável.

4. Autorização para Subprocessamento
   1. O Cliente reconhece, concorda e consente que, exclusivamente para prestar os Serviços e sempre sujeito ao cumprimento dos termos deste DPA, os Dados Pessoais poderão ser processados pela Operadora e por suas Suboperadoras.
   2. O Cliente autoriza, por meio deste instrumento, a Operadora a contratar Suboperadoras, sujeito às condições de que a Operadora: 

1. celebre um contrato escrito com a Suboperadora contendo as mesmas obrigações estabelecidas neste DPA ou, em qualquer caso, garanta que a Suboperadora ofereça garantias não inferiores às oferecidas pela Operadora neste DPA;
2. avalie a Suboperadora e permaneça responsável pelos atos ou omissões da Suboperadora em relação às suas obrigações nos termos deste DPA.

3. A Operadora mantém uma lista das Suboperadoras em sua página de Suboperadoras, disponível no seguinte link: https://support.streamyard.com/hc/en-us/articles/52721830281236-Subprocessors. O Cliente pode se inscrever para receber atualizações quando forem feitas alterações na lista de Suboperadoras. 
4. O Cliente poderá se opor razoavelmente ao uso de uma nova Suboperadora por motivos legítimos, sujeito às cláusulas de rescisão e responsabilidade do Contrato. O Cliente reconhece que as Suboperadoras são essenciais para a prestação dos Serviços e que a oposição ao uso de uma Suboperadora poderá impedir a Operadora de oferecer os Serviços ao Cliente.

5. Transferências de Dados Pessoais
   1. Quando o Cliente estiver localizado no EEE e a prestação dos Serviços envolver a transferência de Dados Pessoais do EEE, as Partes concordam que as Cláusulas Contratuais-Padrão ficam incorporadas a este DPA por referência e serão aplicáveis a essas transferências.
   2. Na medida em que as Cláusulas Contratuais-Padrão se apliquem entre o Cliente e a Operadora, as Partes concordam com o seguinte:

• somente serão aplicáveis as cláusulas das Cláusulas Contratuais-Padrão previstas no MÓDULO DOIS;
• a Cláusula 7 das Cláusulas Contratuais-Padrão não se aplica;
• nos termos da Cláusula 9(a) das Cláusulas Contratuais-Padrão, a Opção 2 é aplicável, nos termos da Seção 4 deste DPA;
• a cláusula opcional prevista na Cláusula 11(a) das Cláusulas Contratuais-Padrão não se aplica;
• nos termos da Cláusula 17 das Cláusulas Contratuais-Padrão, a Opção 1 é aplicável. Aplicar-se-á a legislação da Itália;
• nos termos da Cláusula 18(b) das Cláusulas Contratuais-Padrão, aplicar-se-ão os tribunais de Milão, Itália;
• o Anexo 1 das Cláusulas Contratuais-Padrão será considerado preenchido com as informações incluídas no Anexo 1 deste DPA;
• o Anexo 2 das Cláusulas Contratuais-Padrão será considerado preenchido com as informações incluídas na Cláusula 3.6 deste DPA;
• o Anexo 3 das Cláusulas Contratuais-Padrão será considerado preenchido com as informações incluídas na Cláusula 4.3 deste DPA.

3. Quando a Operadora realizar uma transferência de Dados Pessoais para um terceiro país, inclusive nos casos em que a Operadora contratar uma Suboperadora localizada fora do EEE, a Operadora deverá garantir que seja implementado um Mecanismo de Transferência adequado, incluindo, quando aplicável, uma Decisão de Adequação ou as Cláusulas Contratuais-Padrão.

6. Direitos dos Titulares dos Dados
   1. Levando em consideração a natureza do processamento, a Operadora auxiliará o Cliente no cumprimento de suas obrigações, nos termos da Legislação de Privacidade Aplicável, de responder a solicitações de exercício dos Direitos dos Titulares dos Dados, por meio de medidas técnicas e organizacionais adequadas.
   2. A Operadora cooperará com o Cliente e o auxiliará a responder às solicitações relativas aos Direitos dos Titulares dos Dados de maneira oportuna e lícita, e fornecerá as informações que possam ser razoavelmente necessárias para responder aos Direitos dos Titulares dos Dados ou, de outra forma, permitir que o Cliente cumpra seus deveres relacionados aos Direitos dos Titulares dos Dados nos termos da Legislação de Privacidade Aplicável.
   3. Caso a Operadora receba diretamente de um Titular dos Dados uma solicitação relacionada a Dados Pessoais, a Operadora notificará imediatamente o Cliente e, conforme orientação do Cliente, atuará em nome do Cliente de acordo com suas instruções para responder a tais solicitações.
7. Direito de auditoria
   1. Mediante solicitação escrita do Cliente, a Operadora fornecerá ao Cliente todas as informações relevantes e razoáveis, na forma de documentação, para demonstrar a conformidade da Operadora com suas obrigações estabelecidas neste DPA.
   2. Caso o Cliente demonstre que os documentos e informações fornecidos não comprovam suficientemente a conformidade da Operadora, a Operadora permitirá e contribuirá para uma auditoria realizada pelo Cliente, disponibilizando documentos e informações adicionais razoavelmente solicitados que demonstrem a conformidade da Operadora com suas obrigações estabelecidas neste DPA.
   3. Uma auditoria será realizada durante os dias úteis e o horário comercial normais da Operadora, no máximo uma vez por ano ou se solicitada por uma autoridade competente, mediante aviso prévio de trinta (30) dias. O Cliente deverá garantir a mínima interrupção das atividades da Operadora. Mediante solicitação da Operadora, o Cliente deverá fornecer uma cópia do relatório de auditoria à Operadora. 
   4. Todas as informações coletadas sobre as atividades da Operadora estarão sujeitas a um acordo específico de confidencialidade entre as Partes.
   5. O Cliente arcará integralmente com os custos de qualquer auditoria solicitada, incluindo quaisquer custos de tempo e recursos incorridos pela Operadora em decorrência da solicitação.
   6. O Cliente deverá garantir que o auditor esteja sujeito a obrigações de confidencialidade e que a auditoria seja realizada de maneira que não comprometa a segurança ou a confidencialidade dos dados pessoais da Operadora ou de seus outros clientes. 
8. Incidente de Dados Pessoais
   1. Ao tomar conhecimento de um Incidente de Dados Pessoais do Cliente, a Operadora notificará o Cliente sem demora injustificada.
   2. Com relação a cada Incidente de Dados Pessoais, a Operadora fornecerá ao Cliente toda a assistência que possa ser razoavelmente esperada da Operadora, incluindo o fornecimento de informações adequadas sobre o incidente, consultas das autoridades, limitação do impacto do incidente e dos danos sofridos pelo Cliente em decorrência do incidente. 
   3. A Operadora adotará prontamente medidas corretivas adequadas para remediar um Incidente de Dados Pessoais e cooperará com o Cliente para desenvolver e implementar um plano de ação para lidar com o Incidente de Dados Pessoais de acordo com a Legislação de Privacidade Aplicável.

9. Responsabilidade e Indenização

   1. Em caso de violação deste DPA pela Operadora, o Cliente terá direito de rescindir o Contrato sem custos e sem penalidades, salvo se a Operadora adotar as medidas corretivas exigidas pelo Cliente no prazo de trinta (30) dias contados do recebimento de uma notificação nesse sentido.
   2. A responsabilidade de cada Parte nos termos deste DPA estará sujeita às limitações e exclusões de responsabilidade estabelecidas no Contrato e não as excederá.
   3. O Cliente deverá defender, indenizar e isentar a Operadora (incluindo seus funcionários e afiliadas) de quaisquer reivindicações, incidentes, responsabilidades, processos, danos, perdas e despesas (incluindo honorários advocatícios) decorrentes ou de qualquer forma relacionados ao acesso ou uso dos Serviços pelo Cliente ou à violação deste DPA pelo Cliente.
10. Devolução e Exclusão de Dados Pessoais
    1. A Operadora reterá o conteúdo audiovisual de acordo com as condições mencionadas no plano selecionado pelo Cliente, conforme detalhado neste link, exceto na medida em que o Contrato ou as leis aplicáveis estabeleçam o contrário.
    2. Ressalvada a Seção 10.1 anterior, três anos após o último uso dos Serviços ou o término da assinatura, conforme definido no Contrato, o que ocorrer por último, a Operadora deverá excluir os Dados Pessoais, exceto na medida em que o Contrato ou as leis aplicáveis estabeleçam o contrário. Mediante solicitação do Cliente, a Operadora deverá oferecer um meio para que o Cliente recupere os Dados Pessoais antes dessa exclusão.
    3. O Cliente deverá reembolsar a Operadora por quaisquer custos adicionais decorrentes da devolução dos Dados Pessoais.
11. Processamento adicional realizado pela Bending Spoons como Controladora Autônoma de Dados

11.1. O Cliente autoriza a Bending Spoons a processar os Dados Pessoais envolvidos nos Serviços para as seguintes finalidades autônomas adicionais: (1) estabelecer, exercer ou defender os direitos da Bending Spoons e de suas afiliadas, incluindo comprovar a execução correta do Serviço, (2) cumprir obrigações legais ou regulatórias aplicáveis ao processamento e à retenção de dados às quais a Bending Spoons esteja sujeita, (3) garantir e melhorar a qualidade e o funcionamento adequado do Serviço, inclusive analisando, prevenindo ou corrigindo falhas e bugs, bem como o uso ilícito ou indevido dos Serviços, e (4) fazer cumprir o Contrato e aumentar a segurança e a integridade dos Serviços. 

11.2 Para qualquer comunicação e solicitação relativa às operações de processamento realizadas de acordo com esta Seção, a Bending Spoons pode ser contatada pelo seguinte e-mail: privacy-streamyard@bendingspoons.com.

11.3. Quando a Seção 11.1. se aplicar, o Cliente e a Bending Spoons se comprometem a processar os Dados Pessoais de acordo com a Legislação de Privacidade Aplicável.

12. Disposições diversas
    1. Todas as comunicações relacionadas a este DPA e a questões de privacidade, dirigidas à Operadora, deverão ser enviadas aos contatos especificados no Anexo I deste DPA. Todas as comunicações relacionadas a este DPA e a questões de privacidade, dirigidas ao Cliente, deverão ser enviadas ao endereço de e-mail fornecido pelo Cliente durante a assinatura do Contrato. Cada Parte notificará a outra sobre qualquer atualização de seus dados de contato.
    2. Este DPA permanecerá vigente durante o prazo do Contrato e, em qualquer caso, durante a execução do Serviço, situação em que terminará após a conclusão do Serviço, sujeito à Seção 10 (Devolução e Exclusão de Dados Pessoais).
    3. Quaisquer obrigações previstas neste DPA que, por sua natureza, devam permanecer vigentes após a rescisão do Contrato continuarão aplicáveis após a rescisão.
    4. Alterações e adições a este Contrato somente serão válidas se acordadas expressamente e por escrito.
    5. Todas as disposições deste DPA são parte integrante da relação geral entre o Cliente e a Operadora. A execução deste DPA não resultará no reconhecimento de qualquer contraprestação, remuneração, indenização, compensação ou reembolso específico em favor da Operadora além daquele estabelecido no Contrato.
    6. Em caso de conflito entre os termos deste DPA e o Contrato, este DPA prevalecerá.