Contrato de Tratamento de Dados

1.Finalidade e aplicação deste contrato

1.1  O Cliente utiliza os serviços online de quizzes, pesquisas, avaliações e cursos do Quiz Maker (os “Serviços”) nos termos dos Termos de serviço do Quiz Maker (os “Termos”). Quando pessoas abrem ou respondem aos quizzes do Cliente, o Quiz Maker trata os dados pessoais delas em nome do Cliente.

1.2  Este Contrato de Tratamento de Dados (“DPA”) estabelece os termos desse tratamento, conforme exigido pelo artigo 28 do GDPR (Regulamento Geral sobre a Proteção de Dados da União Europeia), e fornece uma base legal para a transferência desses dados pessoais para fora do Espaço Econômico Europeu.

1.3  Este DPA é celebrado entre a My Plaza Pty Ltd (ABN 58 110 054 245), operando como Quiz Maker (“Quiz Maker”), e o cliente titular de uma conta do Quiz Maker (o “Cliente”). Ele faz parte dos Termos e se aplica automaticamente, sem assinatura, sempre que o Quiz Maker tratar Dados Pessoais do Cliente sujeitos às Leis de Proteção de Dados. O Cliente o aceita ao aceitar os Termos.

1.4  O Cliente que precisar de uma cópia assinada poderá solicitá-la pelo formulário de contato do Quiz Maker. A cópia assinada contém os mesmos termos deste DPA.

1.5  Em caso de conflito, aplica-se a seguinte ordem: primeiro as Cláusulas contratuais padrão (quando aplicáveis), depois este DPA e, por fim, os Termos. Em todos os demais aspectos, os Termos continuam a se aplicar.

2.Definições

Os termos usados neste DPA e não definidos aqui (como controlador, operador, titular, dados pessoais, tratamento e autoridade de controle) têm o significado que lhes é dado pelo GDPR. Além disso:

3.Papéis e escopo

3.1  O Cliente é o controlador dos Dados Pessoais do Cliente, e o Quiz Maker é seu operador.

3.2  O Quiz Maker é o controlador das informações de conta, login e faturamento do próprio Cliente, que trata nos termos da sua Política de privacidade. Essas informações não são Dados Pessoais do Cliente, e este DPA não se aplica a elas.

3.3  O Cliente é responsável por ter uma base legal para coletar Dados Pessoais do Cliente por meio dos seus quizzes, pelos avisos que fornece aos titulares e pelos consentimentos que obtém deles (incluindo qualquer consentimento exigido para cookies ou tecnologias semelhantes nos seus quizzes e nos sites em que os incorpora), e por não coletar dados pessoais sensíveis ou outros dados proibidos pelos Termos, salvo acordo por escrito do Quiz Maker.

4.Tratamento conforme as instruções do Cliente

4.1  O Quiz Maker tratará os Dados Pessoais do Cliente somente conforme as instruções documentadas do Cliente, inclusive no que diz respeito a transferências para um país terceiro. As instruções do Cliente são este DPA, os Termos e o uso e a configuração dos Serviços pelo Cliente (por exemplo, publicar um quiz, escolher o que ele pergunta, ativar e-mails de resultados ou Recursos de IA e exportar ou excluir envios).

4.2  O Quiz Maker somente poderá tratar os Dados Pessoais do Cliente de outra forma quando exigido pelo direito da União ou de um Estado-Membro ao qual esteja sujeito. Nesse caso, informará o Cliente sobre essa exigência legal antes do tratamento, salvo se a lei proibir essa informação por motivos importantes de interesse público.

4.3  O Quiz Maker informará prontamente o Cliente se, em sua opinião, uma instrução violar as Leis de Proteção de Dados.

4.4  O Quiz Maker não venderá os Dados Pessoais do Cliente, não os usará para publicidade, não os usará para treinar modelos de inteligência artificial nem os usará de outra forma para suas próprias finalidades, exceto para criar estatísticas agregadas que não identifiquem o Cliente nem qualquer titular, conforme descrito nos Termos.

5.Confidencialidade

5.1  O Quiz Maker garantirá que todas as pessoas que autorizar a tratar Dados Pessoais do Cliente estejam sujeitas a uma obrigação de confidencialidade adequada e que o acesso seja limitado aos funcionários que precisam dele para prestar, proteger e dar suporte aos Serviços.

6.Segurança

6.1  O Quiz Maker implementará e manterá as medidas técnicas e administrativas descritas no Anexo II para proteger os Dados Pessoais do Cliente, conforme exigido pelo artigo 32 do GDPR.

6.2  O Quiz Maker poderá atualizar essas medidas conforme a tecnologia e as ameaças mudarem, desde que o nível geral de proteção não seja reduzido de forma relevante.

7.Suboperadores

7.1  O Cliente concede ao Quiz Maker autorização geral por escrito para contratar Suboperadores. Os Suboperadores listados no Anexo III estão aprovados.

7.2  O Quiz Maker publica a lista atual de Suboperadores como Anexo III deste DPA em quiz-maker.com/Data-Processing-Agreement e a atualizará pelo menos 30 dias antes de incluir ou substituir um Suboperador. O Quiz Maker também enviará esse aviso por e-mail a qualquer Cliente que o tenha solicitado pelo formulário de contato.

7.3  O Cliente poderá se opor a um novo Suboperador por motivos razoáveis de proteção de dados dentro desses 30 dias, e as partes discutirão a objeção de boa-fé. Se ela não puder ser resolvida, o Cliente poderá rescindir os Serviços afetados, e o Quiz Maker reembolsará quaisquer taxas pagas antecipadamente pelo período não utilizado.

7.4  O Quiz Maker contratará cada Suboperador por meio de um contrato escrito que imponha obrigações de proteção de dados não menos protetivas do que as deste DPA, e continuará integralmente responsável perante o Cliente pelo cumprimento dessas obrigações por cada Suboperador.

8.Solicitações de titulares

8.1  Se o Quiz Maker receber de um titular uma solicitação relativa a Dados Pessoais do Cliente, encaminhará a solicitação ao Cliente sem demora injustificada e não a responderá, exceto para orientar o titular a procurar o Cliente, salvo autorização diversa do Cliente.

8.2  Os Serviços permitem que o próprio Cliente visualize, exporte, corrija e exclua Dados Pessoais do Cliente. Quando o Cliente não puder fazê-lo pelos Serviços, o Quiz Maker prestará assistência razoável, levando em conta a natureza do tratamento, para que o Cliente possa responder a solicitações de exercício dos direitos dos titulares.

9.Incidentes de segurança

9.1  O Quiz Maker notificará o Cliente sem demora injustificada após tomar conhecimento de um Incidente de segurança e, quando viável, em até 48 horas.

9.2  A notificação descreverá, na medida do que se souber no momento, a natureza do incidente, as categorias e o número aproximado de titulares e de registros afetados, suas prováveis consequências e as medidas adotadas ou propostas. Quando nem todas essas informações forem conhecidas de imediato, o Quiz Maker as fornecerá em etapas, à medida que estiverem disponíveis.

9.3  O Quiz Maker tomará medidas razoáveis para conter e remediar o incidente e fornecerá ao Cliente as informações de que ele razoavelmente precisar para cumprir suas próprias obrigações de notificar as autoridades de controle e os titulares. A notificação de um incidente não constitui admissão de culpa ou de responsabilidade.

10.Apoio ao cumprimento

10.1  Levando em conta a natureza do tratamento e as informações de que dispõe, o Quiz Maker prestará ao Cliente assistência razoável no cumprimento das obrigações dele previstas nos artigos 32 a 36 do GDPR, incluindo avaliações de impacto sobre a proteção de dados e consulta prévia a uma autoridade de controle.

11.Exclusão e devolução de dados

11.1  Enquanto utilizar os Serviços, o Cliente poderá exportar ou excluir os Dados Pessoais do Cliente a qualquer momento.

11.2  Quando os Serviços terminarem, o Cliente terá pelo menos 30 dias para exportar seus dados. Após esse período, o Quiz Maker excluirá os Dados Pessoais do Cliente, salvo se o direito da União ou de um Estado-Membro exigir sua conservação.

11.3  As cópias mantidas em backups criptografados são sobrescritas no ciclo normal de backup e permanecem protegidas por este DPA até então. Mediante solicitação, o Quiz Maker confirmará por escrito que a exclusão foi realizada.

12.Informações e auditorias

12.1  O Quiz Maker disponibilizará ao Cliente as informações necessárias para demonstrar o cumprimento do artigo 28 do GDPR, incluindo informações por escrito sobre suas medidas de segurança e respostas a questionários de segurança razoáveis.

12.2  As auditorias consistem no fornecimento dessas informações pelo Quiz Maker e nas respostas às perguntas complementares razoáveis que o Cliente fizer por escrito sobre elas.

12.3  Uma inspeção das instalações ou dos sistemas do Quiz Maker somente poderá ocorrer quando uma autoridade de controle competente a exigir ou após um Incidente de segurança que afete Dados Pessoais do Cliente. Ela deverá ser realizada por um auditor independente sujeito a confidencialidade que não seja concorrente do Quiz Maker, mediante aviso por escrito com pelo menos 30 dias de antecedência (ou com a antecedência menor que a autoridade exigir), durante o horário comercial normal, às custas do Cliente, e limitada ao tratamento de Dados Pessoais do Cliente. Ela não incluirá acesso a dados de outros clientes nem a informações que comprometam a segurança dos Serviços.

12.4  Esta cláusula estabelece como são exercidos os direitos do Cliente previstos na cláusula 8.9 das Cláusulas contratuais padrão e não limita os poderes de nenhuma autoridade de controle.

13.Transferências internacionais

13.1  O Cliente reconhece que o Quiz Maker está estabelecido na Austrália, que os Dados Pessoais do Cliente são hospedados em servidores nos Estados Unidos, que passam pela rede global da Cloudflare e que os Suboperadores do Anexo III os tratam nos locais ali indicados.

13.2  Na medida em que a transferência de Dados Pessoais do Cliente pelo Cliente ao Quiz Maker constitua uma transferência para um país terceiro nos termos do Capítulo V do GDPR, as Cláusulas contratuais padrão ficam incorporadas a este DPA por referência, com o Cliente como exportador de dados e o Quiz Maker como importador de dados, e com as seguintes opções:

1. Aplica-se a Cláusula 7 (cláusula de adesão).
2. Cláusula 9(a): aplica-se a Opção 2 (autorização geral por escrito), o prazo é de 30 dias, e o aviso é dado conforme descrito na cláusula 7.2 deste DPA.
3. Cláusula 11(a): a redação opcional não se aplica.
4. Cláusula 13: a autoridade de controle competente é a indicada no Anexo I, seção C.
5. Cláusula 17: aplica-se a Opção 1, e a lei aplicável é a lei da Irlanda.
6. Cláusula 18(b): os litígios são resolvidos pelos tribunais da Irlanda.
7. Os Anexos I, II e III das Cláusulas contratuais padrão são preenchidos pelos Anexos I, II e III deste DPA.

13.3  Quando o Quiz Maker transferir Dados Pessoais do Cliente a um Suboperador em um país terceiro, garantirá que a transferência esteja coberta por uma salvaguarda adequada nos termos do Capítulo V do GDPR, como as cláusulas contratuais padrão ou uma decisão de adequação (incluindo o EU-U.S. Data Privacy Framework, quando o Suboperador tiver certificação nesse regime).

13.4  O Quiz Maker fornecerá informações razoáveis para ajudar o Cliente a avaliar a transferência nos termos da cláusula 14 das Cláusulas contratuais padrão e tratará qualquer solicitação de uma autoridade pública relativa a Dados Pessoais do Cliente conforme estabelecido na cláusula 15 das Cláusulas contratuais padrão.

13.5  Quando o UK GDPR se aplicar, aplica-se o International Data Transfer Addendum (adendo britânico de transferência internacional de dados) às Cláusulas contratuais padrão da Comissão Europeia, emitido pelo UK Information Commissioner (autoridade britânica de proteção de dados) (versão B1.0), com suas Tabelas 1 a 3 preenchidas com os dados deste DPA e de seus Anexos, e qualquer das partes poderá encerrá-lo conforme permitido por sua Tabela 4. Quando o Swiss Federal Act on Data Protection se aplicar, as Cláusulas contratuais padrão se aplicam tendo o Swiss Federal Data Protection and Information Commissioner (autoridade federal suíça de proteção de dados) como autoridade de controle competente, e as referências ao GDPR devem ser lidas como referências a essa lei.

14.Responsabilidade

14.1  A responsabilidade total de cada parte perante a outra decorrente deste DPA e das Cláusulas contratuais padrão, ou relacionada a eles, considerada em conjunto com todas as reivindicações com base nos Termos, está sujeita às limitações e exclusões de responsabilidade previstas nos Termos, incluindo a exclusão de perdas indiretas e consequentes e o limite global de responsabilidade, na medida permitida por lei.

14.2  Nada neste DPA limita a responsabilidade de qualquer das partes perante os titulares nos termos das Cláusulas contratuais padrão, nem qualquer responsabilidade que não possa ser limitada ou excluída por lei.

15.Vigência, alterações e disposições gerais

15.1  Este DPA entra em vigor em 25 de agosto de 2026, ou quando o Cliente aceitar os Termos, se esta data for posterior, e permanece em vigor enquanto o Quiz Maker tratar Dados Pessoais do Cliente. As cláusulas que, por sua natureza, devam subsistir ao término continuam em vigor.

15.2  Este DPA é regido pela lei que rege os Termos, exceto as Cláusulas contratuais padrão, que são regidas pela lei escolhida na cláusula 13.2. Nada neste DPA reduz os direitos dos titulares previstos nas Cláusulas contratuais padrão.

15.3  O Quiz Maker poderá atualizar este DPA da forma como os Termos lhe permitem atualizar os Termos. Uma atualização não reduzirá de forma relevante a proteção que este DPA confere aos Dados Pessoais do Cliente, salvo se uma mudança nas Leis de Proteção de Dados ou novas cláusulas contratuais padrão adotadas pela Comissão Europeia o exigirem.

15.4  Se qualquer disposição deste DPA for inválida ou inexequível, o restante dele permanecerá em vigor.

15.5  Quando as partes assinarem uma cópia deste DPA, ela poderá ser assinada eletronicamente e em vias separadas, cada uma das quais constitui um original.

Anexo I: Descrição do tratamento

A. Lista das partes

B. Descrição da transferência

C. Autoridade de controle competente

Quando o Cliente estiver estabelecido na União Europeia, a autoridade de controle do Estado-Membro em que estiver estabelecido (ou sua autoridade de controle principal, quando tiver mais de um estabelecimento). Quando o Cliente não estiver estabelecido na União Europeia, mas o GDPR se aplicar a ele, a autoridade de controle do Estado-Membro em que estiver estabelecido seu representante nos termos do artigo 27 do GDPR ou, quando não for obrigado a nomear um, do Estado-Membro em que estiverem localizados os Respondentes em questão.

Anexo II: Medidas técnicas e administrativas

Anexo III: Suboperadores aprovados

A Stripe, Inc. trata as informações de faturamento do próprio Cliente, das quais o Quiz Maker é o controlador. Ela não recebe Dados Pessoais do Cliente e não é um Suboperador nos termos deste DPA.