Acordo de Tratamento de Dados da Cal.com

Versão 2.3 — Data de vigência: 1º de novembro de 2026

Este Acordo de Tratamento de Dados (“DPA”) faz parte do acordo que rege o uso dos Serviços pelo Cliente (“Acordo”) entre o cliente identificado no Acordo (“Cliente”) e Cal.com, Inc. (“Cal.com”). O Cliente e Cal.com são, cada um, uma “Parte” e, juntos, as “Partes”. Sujeito à §14.2, este DPA se aplica a toda conta e plano do Cliente regidos pelo Acordo e passa a ser vinculante conforme previsto na §16.4. A incorporação deste DPA a um contrato-mestre de serviços não incorpora os Termos de Serviço do site da Cal.com a esse contrato.

1. Escopo e funções

1.1 Este DPA se aplica quando a Cal.com trata Dados Pessoais em nome do Cliente ao fornecer os Serviços.

1.2 Para os Dados Pessoais do Cliente, o Cliente atua como Controlador ou como Operador em nome de outro Controlador, conforme aplicável, e a Cal.com atua como Operadora ou Suboperadora do Cliente, conforme o caso. Para dados pessoais que a Cal.com trata para suas próprias finalidades, incluindo administração de conta, cobrança, marketing, segurança e conformidade, a Cal.com atua como Controladora independente, conforme descrito na Política de Privacidade da Cal.com.

1.3 Este DPA não rege o tratamento por serviços de terceiros que o Cliente seleciona, conecta ou configura e que a Cal.com não opera como parte dos Serviços, por exemplo o próprio calendário, provedor de videoconferência, CRM, webhook, SMTP ou automação do Cliente. Ele continua se aplicando ao tratamento, pela Cal.com, dos Dados Pessoais do Cliente ao fornecer integrações com esses serviços. O Cliente é responsável por sua relação com esses terceiros, por suas instruções a eles e pelo uso lícito deles. Recursos que a Cal.com fornece como parte dos Serviços, incluindo recursos entregues por meio de Suboperadores, como vídeo hospedado pela Cal.com e e-mail transacional, permanecem dentro deste DPA.

1.4 O Cliente não deve enviar, carregar ou de qualquer outra forma disponibilizar pelos Serviços nenhuma Informação de Saúde Protegida, a menos que um Acordo de Associado Comercial (“BAA”) cobrindo os Serviços relevantes tenha sido celebrado entre o Cliente e a Cal.com. O Cliente é responsável por qualquer Informação de Saúde Protegida enviada em violação desta seção. O Cliente pode tratar Dados Pessoais sujeitos ao Artigo 9 do GDPR ou a proteção reforçada equivalente nos termos da Lei de Proteção de Dados Aplicável por meio da funcionalidade fornecida nos termos do Acordo, desde que o Cliente seja responsável por determinar que possui uma base legal e qualquer condição exigida para fazê-lo, e por configurar os Serviços adequadamente para esses dados.

1.5 Quando o Cliente tiver celebrado um BAA, o BAA prevalece sobre qualquer conflito entre este DPA e o BAA relativo ao uso, divulgação, privacidade ou segurança de Informações de Saúde Protegidas (conforme definidas no BAA). Este DPA continua regendo todos os demais Dados Pessoais do Cliente e cobre qualquer lacuna não tratada pelo BAA.

2. Definições e interpretação

“Lei de Proteção de Dados Aplicável” significa as leis de proteção de dados e privacidade aplicáveis ao tratamento de Dados Pessoais do Cliente, incluindo, quando aplicável, o GDPR, o UK GDPR, a Lei Federal Suíça sobre Proteção de Dados, as Leis Estaduais de Privacidade dos EUA e leis de implementação ou suplementares.

“Dados Pessoais do Cliente” significa Dados Pessoais tratados pela Cal.com em nome do Cliente em conexão com os Serviços.

“EEE” significa o Espaço Econômico Europeu.

“DPA Assinado” significa um acordo de tratamento de dados, que não este DPA, que o Cliente e a Cal.com tenham assinado.

“GDPR” significa o Regulamento (UE) 2016/679.

“Violação de Dados Pessoais” tem o significado dado no GDPR.

“SCCs” significa as cláusulas contratuais padrão para a transferência de dados pessoais a países terceiros adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021.

“Alterações Suíças” significa as modificações às SCCs exigidas pelo Comissário Federal Suíço de Proteção de Dados e Informação para transferências sujeitas à Lei Federal Suíça sobre Proteção de Dados.

“Adendo do Reino Unido” significa o Adendo Internacional de Transferência de Dados às Cláusulas Contratuais Padrão da Comissão da UE emitido pelo Comissário de Informação do Reino Unido nos termos da seção 119A do Data Protection Act 2018.

“Serviços” significa os serviços hospedados de agendamento, reserva, vídeo, comunicação, integração e serviços relacionados da Cal.com fornecidos nos termos do Acordo.

“Suboperador” significa um terceiro contratado pela Cal.com para tratar Dados Pessoais do Cliente em nome da Cal.com em conexão com os Serviços. Fornecedores que tratam dados pessoais apenas para as finalidades próprias da Cal.com, como Controladora independente, incluindo ferramentas de análise e publicidade no site de marketing da Cal.com, não são Suboperadores.

“Lista de Suboperadores” significa a lista atual de Suboperadores da Cal.com, disponível em trust.cal.com.

“Leis Estaduais de Privacidade dos EUA” significa o California Consumer Privacy Act, conforme alterado pelo California Privacy Rights Act, e outras leis estaduais dos EUA de aplicação geral que regem o tratamento de informações pessoais, juntamente com seus regulamentos de implementação, em cada caso na medida aplicável.

“BAA” significa um Acordo de Associado Comercial, se celebrado entre o Cliente e a Cal.com, que rege o uso e a divulgação de Informações de Saúde Protegidas nos termos da HIPAA. Quando não houver BAA em vigor, as referências a um BAA neste DPA não se aplicam.

“Controlador”, “Operador”, “Titular dos Dados”, “Dados Pessoais”, “Tratamento” e termos relacionados têm os significados dados na Lei de Proteção de Dados Aplicável. Nos termos das Leis Estaduais de Privacidade dos EUA, “Controlador” inclui “empresa”, “Operador” inclui “prestador de serviços” e “contratado”, e “Dados Pessoais” inclui “informações pessoais”.

3. Instruções de tratamento

3.1 Cal.com tratará Dados Pessoais do Cliente somente: (a) para fornecer, proteger, dar suporte, manter e melhorar os Serviços de acordo com o Acordo, este DPA, a configuração e o uso documentados dos Serviços pelo Cliente, e a lei aplicável; (b) conforme instruções documentadas adicionais do Cliente consistentes com o Acordo e este DPA; ou © conforme exigido pela lei aplicável, caso em que a Cal.com informará o Cliente sobre essa exigência legal antes do tratamento, a menos que a lei aplicável proíba esse aviso.

3.2 O Cliente é responsável por garantir que suas instruções e sua coleta, uso, divulgação e demais tratamentos de Dados Pessoais do Cliente por meio dos Serviços cumpram a Lei de Proteção de Dados Aplicável.

3.3 O objeto, a duração, a natureza, as finalidades, as categorias de Titulares dos Dados, as categorias de Dados Pessoais e as operações de tratamento estão definidos no Anexo 1.

3.4 Se Cal.com considerar que uma instrução do Cliente viola a Legislação de Proteção de Dados Aplicável, Cal.com informará prontamente o Cliente dessa opinião, e Cal.com poderá suspender a execução da instrução afetada até que o Cliente a confirme, modifique ou retire.

4. Confidencialidade e pessoal

4.1 A Cal.com garantirá que as pessoas autorizadas a tratar Dados Pessoais do Cliente estejam sujeitas a obrigações de confidencialidade adequadas ou a um dever legal de confidencialidade adequado.

4.2 A Cal.com limitará o acesso aos Dados Pessoais do Cliente ao pessoal e aos Suboperadores que precisem de acesso para fornecer, proteger, apoiar ou manter os Serviços.

5. Segurança

5.1 Levando em conta o estado da técnica, os custos de implementação, a natureza, o escopo, o contexto e as finalidades do tratamento, e os riscos para os Titulares dos Dados, Cal.com implementará e manterá medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais do Cliente, conforme exigido pelo Artigo 32 do GDPR.

5.2 As medidas de segurança da Cal.com incluem, conforme apropriado: controle de acesso e práticas de menor privilégio; criptografia em trânsito e em repouso quando apropriado; controles de autenticação, incluindo SSO e autenticação multifator para sistemas relevantes; desenvolvimento seguro, gestão de vulnerabilidades, registro de logs, monitoramento, resposta a incidentes, backup e práticas de resiliência; e testes de segurança periódicos e atividades independentes de garantia adequadas aos Serviços.

5.3 A Cal.com poderá atualizar ou modificar suas medidas de segurança de tempos em tempos, desde que as alterações não reduzam materialmente a segurança geral dos Serviços.

6. Suboperadores

6.1 Autorização geral. O Cliente concede à Cal.com autorização geral por escrito para contratar Suboperadores para tratar Dados Pessoais do Cliente para a prestação, operação, segurança, suporte, manutenção e melhoria dos Serviços. Quando o Cliente atuar como Operador, qualquer autorização exigida do Controlador deverá ser obtida e comunicada de acordo com as SCCs aplicáveis; a autorização do Cliente não a substitui.

6.2 Suboperadores atuais. O Cliente autoriza o uso, pela Cal.com, dos Suboperadores listados na Lista de Suboperadores na data de vigência deste DPA.

6.3 Alterações em Suboperadores. Antes que um Suboperador novo ou substituto comece a tratar Dados Pessoais do Cliente, Cal.com enviará ao Cliente aviso prévio por escrito e fará esforços comercialmente razoáveis para enviar esse aviso com antecedência suficiente para que o Cliente analise a alteração e apresente objeção nos termos do §6.4. O aviso poderá ser fornecido por e-mail ao administrador da conta do Cliente ou ao contato de privacidade/jurídico, por notificação no produto ou por outro método eletrônico documentado. A atualização apenas da Lista de Suboperadores não será o único método de notificação da Cal.com.

6.4 Objeções. O Cliente poderá apresentar objeção por escrito dentro de um prazo razoável após receber o aviso e, quando praticável, antes que o novo Suboperador comece o tratamento, com base em fundamentos razoáveis e comprovados relacionados à proteção de dados. As Partes trabalharão de boa-fé para resolver uma objeção válida. Se não houver uma solução razoável disponível e o Cliente não puder razoavelmente continuar usando o Serviço afetado sem o Suboperador proposto, o Cliente poderá descontinuar o Serviço afetado ou rescindir a parte afetada do Contrato. Cal.com reembolsará quaisquer taxas pré-pagas e não utilizadas pelo Serviço afetado rescindido.

6.5 Obrigações dos Suboperadores. Antes que um Suboperador trate Dados Pessoais do Cliente, Cal.com celebrará um contrato por escrito exigindo que o Suboperador proteja os Dados Pessoais do Cliente com obrigações não menos protetivas do que aquelas aplicáveis à Cal.com nos termos deste DPA, conforme exigido pela Legislação de Proteção de Dados Aplicável.

6.6 Responsabilidade. A Cal.com permanece responsável pelo cumprimento das obrigações de proteção de dados de seus Suboperadores na medida exigida pela Legislação de Proteção de Dados Aplicável.

6.7 Suboperadores subsequentes. Os Suboperadores da Cal.com poderão contratar seus próprios suboperadores quando permitido pelo contrato deles com a Cal.com e pela Legislação de Proteção de Dados Aplicável. A Cal.com manterá a responsabilidade contratual por meio de seu Suboperador direto e não precisa listar todos os suboperadores subsequentes como Suboperadores diretos da Cal.com. Na medida exigida pela Legislação de Proteção de Dados Aplicável, a Cal.com disponibilizará proativamente ao Cliente informações atuais que identifiquem os Suboperadores e suboperadores subsequentes que tratam Dados Pessoais do Cliente, incluindo seus nomes, endereços, pessoas de contato e dados de contato, e o tratamento confiado a eles. Essas informações poderão ser fornecidas por meio de listas acessíveis de fornecedores ou outros recursos documentados e serão mantidas atualizadas.

6.8 Suboperadores aptos a lidar com PHI. Quando o Cliente tiver celebrado um BAA, Cal.com não permitirá que um Suboperador crie, receba, mantenha ou transmita Informações de Saúde Protegidas, a menos que esse Suboperador esteja vinculado por um contrato por escrito que contenha proteções consistentes com o BAA, incluindo uma restrição ao uso de Informações de Saúde Protegidas para treinar, ajustar ou melhorar qualquer modelo de inteligência artificial ou aprendizado de máquina.

7. Assistência com solicitações de titulares dos dados

7.1 Levando em conta a natureza do tratamento, Cal.com fornecerá assistência razoável ao Cliente, por meio de medidas técnicas e organizacionais adequadas, para permitir que o Cliente responda às solicitações de Titulares dos Dados.

7.2 Se Cal.com receber uma solicitação de Titular dos Dados relacionada a Dados Pessoais do Cliente, Cal.com notificará prontamente o Cliente, salvo se proibido por lei, e não responderá à solicitação, exceto conforme instruções documentadas do Cliente ou conforme exigido pela lei aplicável.

7.3 O Cliente permanece responsável por lidar com solicitações de Titulares dos Dados de acordo com seu papel como Controlador ou Operador e suas obrigações nos termos da Legislação de Proteção de Dados Aplicável. A assistência da Cal.com é regida por este DPA e pelas SCCs aplicáveis.

8. Violações de Dados Pessoais

8.1 A Cal.com notificará o Cliente sem demora indevida após tomar conhecimento de uma Violação de Dados Pessoais que afete Dados Pessoais do Cliente.

8.2 A Cal.com fornecerá as informações razoavelmente disponíveis para ajudar o Cliente a cumprir suas obrigações de notificação e outras obrigações legais, incluindo, quando disponíveis: a natureza da violação; as categorias e o número aproximado de Titulares dos Dados e registros afetados; as consequências prováveis; as medidas tomadas ou propostas para mitigar a violação; e um ponto de contato para mais informações.

8.3 As informações poderão ser fornecidas em etapas, conforme fiquem disponíveis. Cal.com cooperará de forma razoável com o Cliente na investigação, mitigação e correção da Violação de Dados Pessoais.

8.4 Cal.com notificar uma Violação de Dados Pessoais, ou responder a ela, não constitui reconhecimento por parte da Cal.com de culpa ou responsabilidade.

9. DPIAs e consulta à autoridade supervisora

Levando em conta a natureza do tratamento e as informações disponíveis para a Cal.com, a Cal.com prestará assistência razoável ao Cliente em avaliações de impacto à proteção de dados e consultas com autoridades supervisoras exigidas pelos Artigos 35 e 36 do GDPR ou por Lei de Proteção de Dados Aplicável equivalente, exclusivamente na medida em que a solicitação diga respeito ao tratamento pela Cal.com dos Dados Pessoais do Cliente.

10. Devolução e exclusão

10.1 Durante a vigência, o Cliente poderá acessar e exportar os Dados Pessoais do Cliente por meio dos Serviços quando a funcionalidade relevante estiver disponível. Ao término dos serviços de tratamento, o Cliente poderá escolher a devolução dos Dados Pessoais do Cliente seguida da exclusão das cópias existentes, ou a exclusão, conforme exigido pela Lei de Proteção de Dados Aplicável e pelas SCCs aplicáveis.

10.2 Após o encerramento ou expiração dos Serviços, o Cliente terá pelo menos 30 dias para exportar os Dados Pessoais do Cliente, a menos que o Cliente instrua a exclusão antecipada ou que o Contrato ou a configuração do Cliente preveja um período mais longo.

10.3 Após o período de exportação aplicável, a Cal.com excluirá os Dados Pessoais do Cliente de acordo com seu cronograma padrão de exclusão, normalmente em até 90 dias, a menos que a retenção seja exigida pela lei aplicável. Mediante solicitação por escrito do Cliente, a Cal.com confirmará por escrito quando a exclusão prevista nesta seção tiver sido concluída, quando a Lei de Proteção de Dados Aplicável exigir ou quando essa confirmação estiver razoavelmente disponível.

10.4 Os Dados Pessoais do Cliente remanescentes em backups após o encerramento permanecerão protegidos e serão colocados fora de uso ordinário enquanto aguardam exclusão de acordo com o cronograma aplicável de retenção de backups. Qualquer retenção, restauração ou outro tratamento deve ser permitido pela Lei de Proteção de Dados Aplicável e pelas SCCs aplicáveis.

10.5 Esta seção não exige que a Cal.com exclua dados que trate como Controladora independente, quando a Cal.com tiver uma base legal e uma finalidade separadas, como faturamento, tributos, prevenção a fraudes, segurança ou registros de conformidade legal.

10.6 Quando um BAA se aplicar, a devolução ou destruição de Informações de Saúde Protegidas, incluindo cópias em backups, será regida por esse BAA e pela lei aplicável. Qualquer retenção contínua baseada em inviabilidade deve atender a esses requisitos, e as proteções do BAA continuam válidas para as Informações de Saúde Protegidas retidas.

11. Auditorias e informações de conformidade

11.1 A Cal.com disponibilizará as informações razoavelmente necessárias para demonstrar conformidade com este DPA.

11.2 Antes de solicitar uma auditoria, o Cliente usará a documentação atual de conformidade da Cal.com, incluindo relatórios de segurança relevantes, certificações, resumos de auditoria, questionários e respostas por escrito, quando esses materiais demonstrarem razoavelmente a conformidade.

11.3 Se esses materiais não forem razoavelmente suficientes, o Cliente poderá conduzir uma auditoria das atividades de tratamento relevantes da Cal.com, no máximo uma vez a cada 12 meses, sujeita a: aviso prévio por escrito de pelo menos 30 dias; escopo razoavelmente relacionado aos Dados Pessoais do Cliente e a este DPA; realização durante o horário comercial normal; medidas razoáveis para evitar interrupções nas operações da Cal.com; um auditor independente e qualificado, vinculado a obrigações de confidencialidade e que não seja concorrente da Cal.com; e o Cliente arcar com seus próprios custos, a menos que uma não conformidade material por parte da Cal.com seja identificada.

11.4 A Cal.com poderá se opor a um auditor ou plano de auditoria com base em motivos razoáveis de segurança, confidencialidade ou operação, e trabalhará de boa-fé para acordar uma alternativa adequada. Os procedimentos e limitações desta seção se aplicam apenas na medida em que sejam consistentes com a Lei de Proteção de Dados Aplicável e as SCCs aplicáveis. Eles não restringem uma auditoria ou inspeção exigida por uma autoridade supervisora competente ou de outra forma exigida por essas disposições.

12. Transferências internacionais

12.1 A Cal.com poderá transferir os Dados Pessoais do Cliente para fora do EEE, do Reino Unido ou da Suíça somente quando tiver um mecanismo de transferência lícito nos termos da Lei de Proteção de Dados Aplicável.

12.2 Mecanismos apropriados incluem: uma decisão de adequação; as SCCs, juntamente com o Aditivo do Reino Unido e as Emendas Suíças quando aplicáveis, conforme estabelecido no §12.4; se e enquanto a Cal.com estiver certificada sob o EU-U.S. Data Privacy Framework ou a UK Extension desse Framework, esse Framework; ou outro mecanismo de transferência válido reconhecido pela Lei de Proteção de Dados Aplicável.

12.3 Quando exigido, a Cal.com implementará medidas suplementares e disponibilizará informações relevantes sobre a transferência por meio da Lista de Suboperadores ou mediante solicitação razoável.

12.4 Cláusulas Contratuais Padrão. As SCCs se aplicam a transferências de Dados Pessoais do Cliente que se enquadrem em seu escopo permitido e exijam essas salvaguardas porque nenhum outro mecanismo de transferência válido nos termos do §12.2 cobre a transferência. Elas são incorporadas a este DPA e completadas pelo Anexo de Cláusulas Contratuais Padrão da Cal.com em cal.com/dpa-scc (o “Anexo das SCCs”). As Partes celebram essas cláusulas por meio de execução válida, conforme especificado no Anexo das SCCs. Uma mudança de mecanismo de transferência não extingue automaticamente as obrigações existentes das SCCs; a rescisão ou revogação deve cumprir os instrumentos de transferência aplicáveis, e os direitos acumulados não são afetados. As seguintes escolhas se aplicam:

(a) O Módulo Dois (controlador para operador) se aplica quando o Cliente é Controlador dos Dados Pessoais do Cliente, e o Módulo Três (operador para operador) se aplica quando o Cliente é, ele próprio, um Operador atuando em nome de um Controlador terceiro. O Cliente é o “exportador de dados” e a Cal.com é a “importadora de dados”. Quando o Cliente atua como Operador, o Cliente garante que tem a autoridade e as instruções de cada Controlador relevante necessárias para nomear a Cal.com nos termos do Módulo Três e para repassar essas instruções à Cal.com, e o Cliente indenizará a Cal.com contra reivindicações desses Controladores decorrentes da falta dessa autoridade pelo Cliente ou de instruções que a Cal.com receber por meio do Cliente. Essa indenização não limita as obrigações ou a responsabilidade da Cal.com nos termos das SCCs.

(b) A Cláusula 7 (cláusula de adesão) se aplica.

© Na Cláusula 9(a), aplica-se a Opção 2 (autorização geral por escrito). O período de aviso prévio é o período especificado no §6.3 e no Cronograma das SCCs. O aviso e a autorização devem cumprir o Módulo aplicável.

(d) Na Cláusula 11(a), a redação opcional sobre resolução independente de disputas não se aplica.

(e) Na Cláusula 13 e no Anexo I.C, a autoridade supervisora competente é determinada nos termos da Cláusula 13(a) e identificada nas informações específicas do Cliente incorporadas ao Anexo I.C do Cronograma das SCCs.

(f) Na Cláusula 17, aplica-se a Opção 1 e as SCCs são regidas pela lei da Irlanda. Na Cláusula 18(b), as disputas são resolvidas perante os tribunais da Irlanda.

(g) Os dados das Partes e os registros de assinatura são identificados no Anexo I.A do Cronograma das SCCs; as transferências são descritas no Anexo I.B; as medidas de segurança são especificadas no Anexo II; e as informações e autorizações de subprocessadores são tratadas no Anexo III e na Cláusula 9 desse Cronograma.

(h) Para transferências sujeitas ao UK GDPR que exijam essa salvaguarda, o Adendo do Reino Unido se aplica e altera as SCCs conforme nele estabelecido. As Tabelas 1 a 3 são preenchidas com as informações da Parte 6 do Cronograma das SCCs. Na Tabela 4, apenas Cal.com, como Importador, pode encerrar o Adendo do Reino Unido conforme estabelecido na seção 19 dele.

(i) Para transferências sujeitas à Lei Federal Suíça de Proteção de Dados, aplicam-se as Alterações Suíças da Parte 7 do Cronograma das SCCs. Quando uma transferência estiver sujeita tanto ao GDPR quanto a essa Lei, as SCCs se aplicam em paralelo sob ambos os regimes.

(j) Se as SCCs forem alteradas, substituídas ou invalidadas, as Partes cooperarão de boa-fé para adotar o mecanismo sucessor ou um mecanismo alternativo válido. Em caso de conflito entre as SCCs e este DPA ou o Contrato, as SCCs prevalecem.

13. Solicitações governamentais e de autoridades policiais

13.1 Para Dados Pessoais do Cliente transferidos nos termos das SCCs, Cal.com cumprirá as Cláusulas 15.1 e 15.2 das SCCs. Nada nesta seção limita as obrigações previstas na Lei de Proteção de Dados Aplicável ou nas SCCs aplicáveis, no Adendo do Reino Unido ou nas Alterações Suíças.

14. Ordem de precedência

14.1 Em caso de conflito entre este DPA e o Contrato em relação ao processamento de Dados Pessoais do Cliente, este DPA prevalece na medida desse conflito. Um Formulário de Pedido assinado altera uma disposição deste DPA somente quando identificar expressamente essa disposição.

14.2 Quando o Cliente e a Cal.com tiverem um DPA Assinado em vigor que cubra determinado processamento de Dados Pessoais do Cliente, esse DPA Assinado se aplicará a esse processamento em vez deste DPA enquanto permanecer em vigor.

15. Responsabilidade

A responsabilidade de cada Parte decorrente de ou relacionada a este DPA está sujeita às exclusões e limitações de responsabilidade previstas no Contrato, exceto na medida em que essas disposições contradigam ou prejudiquem as disposições de responsabilidade das SCCs aplicáveis, do Adendo do Reino Unido ou das Alterações Suíças, ou de outra forma violem a lei aplicável. Essa exceção se aplica à responsabilidade entre as Partes, bem como à responsabilidade perante os Titulares dos Dados. Este DPA não cria uma indenização contratual adicional por perda de dados pela Cal.com nem uma garantia de backup ou recuperação além das medidas expressas descritas no §5 e no Anexo II do Cronograma das SCCs. Isso não limita essas obrigações expressas, a responsabilidade obrigatória ou a proteção adicional contra perda de dados expressamente acordada em um DPA Assinado ou em um Formulário de Pedido assinado.

16. Geral

16.1 Avisos. Os avisos previstos neste DPA devem ser feitos por escrito e podem ser enviados por e-mail para o contato jurídico, de privacidade ou de administração de conta da Parte aplicável. Avisos contratuais à Cal.com podem ser enviados para [email protected] ou entregues à Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, A/C: Jurídico. Solicitações de privacidade podem ser enviadas para [email protected].

16.2 Alterações. Cal.com pode atualizar este DPA quando exigido por lei, para refletir mudanças nos Serviços ou para atender a necessidades operacionais. Cada versão contém um número de versão e uma data de vigência, e as versões anteriores permanecem disponíveis no histórico de versões abaixo. As atualizações devem ser feitas de acordo com o Contrato e a lei aplicável. Cal.com fornecerá aviso prévio por escrito razoável, pelos canais descritos no §6.3, sobre qualquer atualização que reduza materialmente os direitos do Cliente ou as obrigações da Cal.com. Essa atualização entra em vigor somente após o período de aviso aplicável e qualquer aceitação exigida. O Cliente pode encerrar os Serviços afetados mediante aviso por escrito antes da data de vigência se não aceitar tal atualização materialmente adversa. Qualquer reembolso fica limitado aos valores exigidos pela lei aplicável ou pelo Contrato. Outras atualizações entram em vigor na publicação somente na medida permitida pelo Contrato e pela lei aplicável. Esta seção não altera um DPA Assinado; alterações a esse documento são regidas por seus próprios termos.

16.3 Lei aplicável e jurisdição. As disposições sobre lei aplicável e jurisdição do Contrato se aplicam a este DPA. Isso não afeta a lei aplicável e o foro das SCCs aplicáveis, do Adendo do Reino Unido ou das Alterações Suíças, conforme especificado no Cronograma das SCCs, nem direitos e obrigações que não possam ser legalmente modificados por contrato.

16.4 Aceitação. Este DPA se torna vinculante quando é validamente incorporado a um Contrato vinculante para ambas as Partes. A aceitação eletrônica pode ser usada na medida permitida pela lei aplicável. Alterações a uma relação contratual existente são regidas pelo §16.2 e pelo Contrato. A assinatura das SCCs e do Adendo do Reino Unido é regida pelo Cronograma das SCCs. Mediante solicitação, a Cal.com poderá, a seu critério, fornecer uma cópia deste DPA contra-assinada pela Cal.com para os registros do Cliente. Uma cópia contra-assinada tem os mesmos termos e efeitos da versão vinculante entre as Partes e não constitui um DPA Assinado para fins do §14.2. Isso não limita qualquer assinatura exigida ou direito de receber uma cópia do DPA vinculante ou das SCCs aplicáveis.

16.5 Termos negociados. Clientes que compram por meio de um Formulário de Pedido ou contrato principal de serviços com a Cal.com podem solicitar um DPA Assinado. Cal.com não negocia nem modifica este DPA de outra forma.

Anexo 1: Detalhes do processamento

Anexo 2: Subprocessadores

Cal.com mantém a lista atual de Subprocessadores diretos disponível em trust.cal.com. Fornecedores que processam dados pessoais apenas para os próprios fins da Cal.com, como Controlador independente, não são Subprocessadores para fins deste DPA.

Anexo 3: Leis de Privacidade Estaduais dos EUA

Este Anexo se aplica na medida em que as Leis Estaduais de Privacidade dos EUA se aplicarem aos Dados Pessoais do Cliente. Os termos têm os significados definidos nessas leis.

1. Cal.com atua como prestador de serviços ou operador para o Cliente em relação aos Dados Pessoais do Cliente. O Cliente divulga esses dados à Cal.com apenas para os fins comerciais limitados e especificados de fornecer agendamento, reserva, gerenciamento de conta, comunicações, vídeo, integrações, suporte ao cliente, manutenção e segurança para os Serviços usados pelo Cliente, conforme descrito em mais detalhes no Anexo 1.
2. Cal.com não irá: (a) vender ou compartilhar Dados Pessoais do Cliente; (b) reter, usar ou divulgar Dados Pessoais do Cliente para qualquer finalidade, incluindo finalidade comercial, que não sejam os fins comerciais especificados no Contrato e neste DPA, ou conforme permitido de outra forma pelas Leis Estaduais de Privacidade dos EUA; © reter, usar ou divulgar Dados Pessoais do Cliente fora da relação comercial direta entre o Cliente e Cal.com, exceto conforme permitido pelas Leis Estaduais de Privacidade dos EUA; ou (d) combinar Dados Pessoais do Cliente com informações pessoais que a Cal.com recebe de ou em nome de outra pessoa, ou coleta a partir de suas próprias interações com consumidores, exceto conforme permitido pelas Leis Estaduais de Privacidade dos EUA.
3. Cal.com cumprirá as obrigações aplicáveis nos termos das Leis Estaduais de Privacidade dos EUA e oferecerá o mesmo nível de proteção de privacidade que essas leis exigem do Cliente. Cal.com notificará o Cliente se determinar que não pode mais cumprir suas obrigações nos termos das Leis Estaduais de Privacidade dos EUA. O Cliente poderá tomar medidas razoáveis e apropriadas para ajudar a garantir que a Cal.com use os Dados Pessoais do Cliente de forma consistente com as obrigações do Cliente nos termos das Leis Estaduais de Privacidade dos EUA aplicáveis e, mediante notificação, interromper e remediar o uso não autorizado. Esses direitos são exercidos de acordo com a §11, na medida em que seus procedimentos e limitações sejam consistentes com as Leis Estaduais de Privacidade dos EUA aplicáveis.
4. Cal.com repassará as obrigações deste Anexo a seus Suboperadores de acordo com a §6.5, e auxiliará o Cliente a responder a solicitações de consumidores de acordo com a §7.
5. Quando exigido pelas Leis Estaduais de Privacidade dos EUA aplicáveis, Cal.com certifica que entende e cumprirá as restrições deste Anexo.