Anexo das Cláusulas Contratuais Padrão da Cal.com

Anexo ao Acordo de Processamento de Dados da Cal.com v2.3 — Versão 1.0 — Data de vigência: 1 de novembro de 2026

Parte 1. Como as Cláusulas se aplicam

1.1 Este Anexo complementa as cláusulas contratuais padrão para a transferência de dados pessoais para terceiros países adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021 (as “SCCs”), o Aditivo Internacional de Transferência de Dados do Reino Unido às Cláusulas Contratuais Padrão da Comissão da UE, versão B1.0, em vigor desde 21 de março de 2022 (o “Aditivo do Reino Unido”), e as alterações exigidas pelo Comissário Federal Suíço de Proteção de Dados e Informação para transferências sujeitas à Lei Federal Suíça de Proteção de Dados (as “Alterações Suíças”), cada um conforme incorporado pelo §12.4 do Acordo de Processamento de Dados da Cal.com (o “DPA”).

1.2 O texto das SCCs é incorporado por referência exatamente como publicado no Jornal Oficial da União Europeia (OJ L 199, 7.6.2021, p. 31), disponível em https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Cláusulas Obrigatórias do Aditivo Aprovado, que é o modelo de Aditivo B.1.0 emitido pelo ICO e apresentado ao Parlamento de acordo com a s119A da Data Protection Act 2018 em 2 de fevereiro de 2022, conforme revisado nos termos da Seção 18 dessas Cláusulas Obrigatórias. Nenhum dos textos é modificado, exceto por meio das opções, escolhas e Anexos que as próprias SCCs e o Aditivo do Reino Unido permitem, conforme estabelecido neste Anexo.

1.3 As SCCs se aplicam às transferências descritas no Anexo I.B que estejam dentro de seu escopo permitido e exijam essas salvaguardas porque nenhum outro mecanismo de transferência válido nos termos do DPA §12.2 cobre a transferência. Uma decisão de adequação válida e aplicável, incluindo uma que cubra a participação da Cal.com no Data Privacy Framework relevante, pode ser usada para transferências dentro de seu escopo. As obrigações existentes das SCCs não são automaticamente extintas; a rescisão ou revogação deve cumprir as SCCs e o Aditivo do Reino Unido aplicáveis. Os direitos acumulados não são afetados.

1.4 As Partes firmam as SCCs por meio da assinatura válida do Anexo I.A preenchido, inclusive por uma assinatura eletrônica juridicamente válida incorporada ao Contrato ou ao DPA. O registro de assinatura deve identificar as Partes, a versão aplicável do Anexo e a data de vigência. Mediante solicitação, Cal.com fornecerá uma cópia da versão vinculante entre as Partes.

1.5 Os termos definidos no DPA têm o mesmo significado aqui. “Cliente” é o exportador de dados e “Cal.com” é o importador de dados. Em caso de conflito entre este Anexo e as SCCs, as SCCs prevalecem (DPA §12.4(j)); em caso de conflito entre este Anexo e o DPA sobre um ponto que as SCCs deixem às Partes, este Anexo prevalece.

Parte 2. Módulos, opções e escolhas

Parte 3. Anexo I

A. Lista de Partes

Exportador de dados

Importador de dados

B. Descrição da transferência

C. Autoridade de supervisão competente

A autoridade de supervisão competente específica determinada nos termos da Cláusula 13(a) é identificada nas informações específicas do Cliente incorporadas a este Anexo.

Parte 4. Anexo II — Medidas técnicas e organizacionais

Este Anexo descreve as medidas que a Cal.com implementa nos termos do DPA §5 e da Cláusula 8.6. Ele é estruturado pelos títulos do Anexo II das SCCs. Cal.com pode atualizar essas medidas nos termos do DPA §5.3, desde que a segurança geral dos Serviços não seja materialmente reduzida. Cal.com disponibiliza seu inventário de controles e relatórios de auditoria independentes em trust.cal.com; as medidas abaixo, e não o inventário de controles, são a descrição contratual para a Cláusula 8.6.

Parte 5. Anexo III — Lista de Suboperadores

A lista oficial e atual de Suboperadores, incluindo nomes das entidades, locais e finalidades, é publicada em trust.cal.com e é atualizada de acordo com o DPA §6.3. Cal.com fornece o aviso por escrito exigido pela Cláusula 9(a), usando um método eletrônico documentado nos termos do DPA §6.3, antes da adição ou substituição de um Suboperador para o tratamento relevante. Para fins da Cláusula 9(a), no Módulo Dois, o Cliente dá à Cal.com autorização geral por escrito para contratar Suboperadores da lista acordada em trust.cal.com na data em que as SCCs passam a vigorar entre as Partes. No Módulo Três, a contratação desses Suboperadores exige a autorização geral por escrito do Controlador relevante. Adições ou substituições estão sujeitas à Cláusula 9(a) e ao DPA §6.3–6.4, na medida em que isso seja compatível com essa Cláusula.

Como se aplica a Opção 2 da Cláusula 9(a), este Anexo não reproduz a lista.

A Lista de Suboperadores identifica os locais de tratamento relevantes para os Dados Pessoais do Cliente. O país de constituição de um Suboperador não é uma declaração de onde ele trata os dados. As alterações permanecem sujeitas aos requisitos aplicáveis de aviso e autorização. Fornecedores usados apenas para os fins próprios da Cal.com não são Suboperadores e não são listados: analytics e publicidade do site de marketing (Google Analytics/GTM, X Ads), o CRM próprio da Cal.comCRM próprio (HubSpot) e aplicativos que o Cliente conecta à sua própria conta de terceiros (Zapier, Dub, Close.com, apps GA4/GTM), para os quais o Cliente é o controlador que instrui esse provedor diretamente.

Parte 6. Aditivo do Reino Unido — tabelas preenchidas

Tabela 1: Partes. Data de início: a data em que as SCCs passam a vigorar entre as Partes nos termos da Parte 1.4. Exportador e Importador: conforme identificados no Anexo I.A, complementado pelo nome comercial de cada Parte, se diferente, endereço registrado ou endereço principal aplicável, e número de registro oficial, se houver. Contatos principais: o cargo e os dados de contato registrados para cada Parte. Assinatura: de acordo com a seção 2 do Aditivo do Reino Unido e o registro de assinatura aplicável.

Tabela 2: SCCs selecionadas, Módulos e Cláusulas selecionadas. As SCCs da UE aprovadas, incluindo as Informações do Apêndice, conforme preenchidas por este Anexo: Módulo Dois ou Módulo Três, conforme aplicável nos termos da Parte 2; a Cláusula 7 se aplica; a redação opcional da Cláusula 11 não se aplica; Cláusula 9(a) Opção 2 com o período de aviso indicado na Parte 2 (DPA §6.3); Cláusulas 17 e 18 conforme a Parte 2, sujeitas à seção 15 do Aditivo do Reino Unido (que substitui as leis e os tribunais da Inglaterra e do País de Gales para assuntos regidos pelo Aditivo do Reino Unido). Cláusula de adesão: aplica-se. Os dados pessoais recebidos do importador são combinados com dados pessoais coletados pelo exportador? Não.

Tabela 3: Informações do Apêndice. Anexo 1A: conforme a Parte 3.A. Anexo 1B: conforme a Parte 3.B. Anexo II: conforme a Parte 4. Anexo III: conforme a Parte 5.

Tabela 4: Encerramento deste Aditivo quando o Aditivo Aprovado mudar. O Importador pode encerrar o Aditivo do Reino Unido conforme estabelecido na seção 19 dele.

Para transferências do Reino Unido, as referências nas SCCs ao GDPR, à legislação de Estado-Membro e à autoridade supervisora são lidas conforme estabelecido no Aditivo do Reino Unido; a autoridade supervisora competente é o Comissário de Informação do Reino Unido.

Parte 7. Alterações suíças

Para transferências sujeitas à Lei Federal Suíça de Proteção de Dados (“FADP”):

(a) as referências ao GDPR são lidas como referências ao FADP, e as referências à legislação de proteção de dados da UE ou de Estado-Membro como referências à legislação suíça de proteção de dados correspondente, sem alterar as escolhas contratuais de lei aplicável e foro no parágrafo (d), na medida em que a transferência esteja sujeita exclusivamente ao FADP; quando uma transferência estiver sujeita tanto ao GDPR quanto ao FADP, as SCCs se aplicam em paralelo sob ambos;

(b) o Comissário Federal Suíço de Proteção de Dados e Informação é competente para transferências regidas pelo FADP; quando o GDPR também se aplicar, a autoridade competente identificada na Cláusula 13 para assuntos de GDPR permanece competente;

© o termo “Estado-Membro” não é interpretado de forma a excluir titulares de dados na Suíça de processar para exercer seus direitos em seu local de residência habitual na Suíça nos termos da Cláusula 18©;

(d) a lei aplicável e o foro nos termos das Cláusulas 17 e 18 permanecem conforme a Parte 2, exceto quando a legislação suíça obrigatória exigir o contrário.

Parte 8. Particularidades do Módulo Três

Quando o Cliente atua como Operador para um Controlador terceiro:

(a) o Cliente confirma que o Controlador autorizou a contratação da Cal.com como suboperadora e a transferência nos termos das SCCs, e que o Cliente repassará as instruções do Controlador, incluindo instruções sobre solicitações de titulares de dados, exclusão e auditorias, pelos canais previstos no DPA;

(b) As notificações devem chegar aos destinatários exigidos por cada disposição aplicável das SCCs. O Cliente encaminhará as notificações quando as SCCs atribuírem essa responsabilidade a ele. Cal.com notificará o Controlador diretamente quando as SCCs exigirem, inclusive nos termos da Cláusula 8.6© quando apropriado e viável. Qualquer arranjo de notificação autorizado por meio do Cliente deve preservar os direitos do Controlador e o prazo exigido pelas SCCs.

© O Cliente indeniza a Cal.com contra reivindicações do Controlador decorrentes da falta de autorização do Cliente ou de instruções que a Cal.com receba por meio do Cliente (DPA §12.4(a)). Essa indenização não limita as obrigações ou a responsabilidade da Cal.com nos termos das SCCs.