Anexo das Cláusulas Contratuais-Tipo da Cal.com

Anexo ao Cal.com Acordo de Tratamento de Dados v2.3 — Versão 1.0 — Data de entrada em vigor: 1 de novembro de 2026

Parte 1. Como se aplicam as Cláusulas

1.1 Este Anexo completa as cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021 (as “SCCs”), a Adenda do Reino Unido sobre Transferências Internacionais de Dados às Cláusulas Contratuais-Tipo da Comissão Europeia, versão B1.0, em vigor desde 21 de março de 2022 (a “Adenda do Reino Unido”), e as alterações exigidas pelo Encarregado Federal Suíço da Proteção de Dados e da Informação para transferências sujeitas à Lei Federal Suíça sobre a Proteção de Dados (as “Alterações Suíças”), cada uma conforme incorporada pelo §12.4 do Cal.com Acordo de Tratamento de Dados (o “DPA”).

1.2 O texto das SCCs é incorporado por referência exatamente conforme publicado no Jornal Oficial da União Europeia (JO L 199 de 7.6.2021, p. 31), disponível em https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Cláusulas Obrigatórias da Adenda Aprovada, sendo o modelo de Adenda B.1.0 emitido pelo ICO e apresentado ao Parlamento em conformidade com a s119A da Data Protection Act 2018 em 2 de fevereiro de 2022, conforme revisto ao abrigo da Secção 18 dessas Cláusulas Obrigatórias. Nenhum dos textos é modificado, exceto através das opções, escolhas e Anexos que as próprias SCCs e a Adenda do Reino Unido permitem, conforme estabelecido neste Anexo.

1.3 As SCCs aplicam-se às transferências descritas no Anexo I.B que se enquadrem no seu âmbito permitido e que exijam essas salvaguardas por não existir outro mecanismo de transferência válido ao abrigo do DPA §12.2 que cubra a transferência. Pode ser invocada uma decisão de adequação válida e aplicável, incluindo uma que cubra a participação da Cal.com no Quadro de Privacidade de Dados relevante, para transferências dentro do seu âmbito. As obrigações existentes ao abrigo das SCCs não são automaticamente extintas; a cessação ou revogação deve cumprir as SCCs e a Adenda do Reino Unido aplicáveis. Os direitos adquiridos não são afetados.

1.4 As Partes celebram as SCCs através da execução válida do Anexo I.A preenchido, incluindo por assinatura eletrónica legalmente válida incorporada no Acordo ou no DPA. O registo de execução deve identificar as Partes, a versão aplicável do Anexo e a data de entrada em vigor. Mediante pedido, Cal.com fornecerá uma cópia da versão vinculativa entre as Partes.

1.5 Os termos definidos no DPA têm aqui o mesmo significado. “Cliente” é o exportador de dados e “Cal.com” é o importador de dados. Em caso de conflito entre este Anexo e as SCCs, prevalecem as SCCs (DPA §12.4(j)); em caso de conflito entre este Anexo e o DPA num ponto que as SCCs deixem às Partes, prevalece este Anexo.

Parte 2. Módulos, opções e escolhas

Parte 3. Anexo I

A. Lista das Partes

Exportador de dados

Importador de dados

B. Descrição da transferência

C. Autoridade de controlo competente

A autoridade de controlo competente específica determinada nos termos da Cláusula 13(a) é identificada nas informações específicas do Cliente incorporadas neste Anexo.

Parte 4. Anexo II — Medidas técnicas e organizativas

Este Anexo descreve as medidas que a Cal.com implementa ao abrigo do DPA §5 e da Cláusula 8.6. Está estruturado segundo os cabeçalhos do Anexo II das SCCs. Cal.com pode atualizar estas medidas ao abrigo do DPA §5.3, desde que a segurança geral dos Serviços não seja materialmente reduzida. Cal.com disponibiliza o inventário de controlos e os relatórios de auditoria independentes em trust.cal.com; as medidas abaixo, e não o inventário de controlos, são a descrição contratual para a Cláusula 8.6.

Parte 5. Anexo III — Lista de Subprocessadores

A lista oficial e atual de Subprocessadores, incluindo nomes das entidades, localizações e finalidades, é publicada em trust.cal.com e é atualizada de acordo com o DPA §6.3. Cal.com fornece o aviso por escrito exigido pela Cláusula 9(a), através de um método eletrónico documentado nos termos do DPA §6.3, antes da adição ou substituição de um Subprocessador para o tratamento relevante. Para efeitos da Cláusula 9(a), ao abrigo do Módulo Dois, o Cliente concede à Cal.com uma autorização geral por escrito para contratar Subprocessadores da lista acordada em trust.cal.com à data em que as SCCs produzem efeitos entre as Partes. Ao abrigo do Módulo Três, a contratação desses Subprocessadores exige a autorização geral por escrito do Responsável pelo tratamento relevante. As adições ou substituições ficam sujeitas à Cláusula 9(a) e ao DPA §6.3–6.4 na medida em que sejam compatíveis com essa Cláusula.

Como se aplica a Opção 2 da Cláusula 9(a), este Anexo não reproduz a lista.

A Lista de Subprocessadores identifica as localizações de tratamento relevantes para os Dados Pessoais do Cliente. O país de constituição de um Subprocessador não indica onde trata os dados. As alterações continuam sujeitas aos requisitos aplicáveis de aviso e autorização. Os fornecedores utilizados apenas para fins próprios da Cal.com não são Subprocessadores e não são listados: análises e publicidade do site de marketing (Google Analytics/GTM, X Ads), o CRM próprio da Cal.como próprio CRM (HubSpot) e aplicações que o Cliente liga à sua própria conta de terceiros (Zapier, Dub, Close.com, aplicações GA4/GTM), relativamente às quais o Cliente é o responsável pelo tratamento que dá instruções diretamente a esse fornecedor.

Parte 6. Adenda do Reino Unido — tabelas preenchidas

Tabela 1: Partes. Data de início: a data em que as SCCs produzem efeitos entre as Partes ao abrigo da Parte 1.4. Exportador e Importador: conforme identificados no Anexo I.A, complementados pelo nome comercial de cada Parte, se diferente, pela morada registada ou morada principal aplicável, e pelo número oficial de registo, se existir. Contactos principais: o cargo e os dados de contacto registados para cada Parte. Assinatura: de acordo com a secção 2 da Adenda do Reino Unido e o registo de assinatura aplicável.

Tabela 2: SCCs, Módulos e Cláusulas selecionadas. As SCCs da UE aprovadas, incluindo as Informações do Apêndice, conforme preenchidas por este Anexo: Módulo Dois ou Módulo Três, conforme aplicável ao abrigo da Parte 2; aplica-se a Cláusula 7; a linguagem opcional da Cláusula 11 não se aplica; Cláusula 9(a) Opção 2 com o período de aviso indicado na Parte 2 (DPA §6.3); Cláusulas 17 e 18 conforme a Parte 2, sujeitas à secção 15 da Adenda do Reino Unido (que substitui as leis e os tribunais de Inglaterra e do País de Gales nas matérias regidas pela Adenda do Reino Unido). Cláusula de adesão: aplica-se. Os dados pessoais recebidos do importador são combinados com dados pessoais recolhidos pelo exportador? Não.

Tabela 3: Informações do Apêndice. Anexo 1A: conforme a Parte 3.A. Anexo 1B: conforme a Parte 3.B. Anexo II: conforme a Parte 4. Anexo III: conforme a Parte 5.

Tabela 4: Cessação desta Adenda quando a Adenda Aprovada for alterada. O Importador pode cessar a Adenda do Reino Unido conforme previsto na secção 19 da mesma.

Para transferências do Reino Unido, as referências nas SCCs ao GDPR, ao direito dos Estados-Membros e à autoridade de controlo são lidas conforme estabelecido na Adenda do Reino Unido; a autoridade de controlo competente é o Information Commissioner do Reino Unido.

Parte 7. Alterações suíças

Para transferências sujeitas à Lei Federal Suíça sobre a Proteção de Dados (“FADP”):

(a) as referências ao GDPR são lidas como referências à FADP, e as referências ao direito de proteção de dados da UE ou de um Estado-Membro como referências ao direito suíço de proteção de dados correspondente, sem alterar as escolhas contratuais de lei aplicável e foro no parágrafo (d), na medida em que a transferência esteja sujeita exclusivamente à FADP; quando uma transferência esteja sujeita tanto ao GDPR como à FADP, as SCCs aplicam-se em paralelo ao abrigo de ambos;

(b) o Comissário Federal Suíço para a Proteção de Dados e Informação é competente para transferências regidas pela FADP; quando o GDPR também se aplica, a autoridade competente identificada ao abrigo da Cláusula 13 para matérias de GDPR continua competente;

© o termo “Estado-Membro” não é interpretado de forma a excluir os titulares dos dados na Suíça de intentarem ações pelos seus direitos no seu local de residência habitual na Suíça ao abrigo da Cláusula 18©;

(d) a lei aplicável e o foro ao abrigo das Cláusulas 17 e 18 permanecem conforme a Parte 2, exceto na medida em que a lei suíça imperativa exija de outro modo.

Parte 8. Especificidades do Módulo Três

Quando o Cliente atua como Subcontratante para um Responsável pelo tratamento terceiro:

(a) o Cliente confirma que o Responsável pelo tratamento autorizou a contratação da Cal.com como subprocessador e a transferência ao abrigo das SCCs, e que o Cliente transmitirá as instruções do Responsável pelo tratamento, incluindo instruções sobre pedidos de titulares dos dados, eliminação e auditorias, através dos canais previstos no DPA;

(b) As notificações devem chegar aos destinatários exigidos por cada disposição aplicável das SCCs. O Cliente encaminhará as notificações quando as SCCs lhe atribuírem essa responsabilidade. Cal.com notificará diretamente o Responsável pelo tratamento quando as SCCs o exigirem, incluindo ao abrigo da Cláusula 8.6© quando adequado e exequível. Qualquer acordo de notificação autorizado através do Cliente deve preservar os direitos do Responsável pelo tratamento e os prazos exigidos pelas SCCs.

© O Cliente indemniza a Cal.com por reclamações do Responsável pelo tratamento decorrentes da falta de autoridade do Cliente ou de instruções que a Cal.com receba através do Cliente (DPA §12.4(a)). Esta indemnização não limita as obrigações nem a responsabilidade da Cal.com ao abrigo das SCCs.