Política de Solicitação de Dados pelo Governo

1. Introdução

1.1 Esta Política de Solicitação de Dados pelo Governo estabelece o procedimento da Zendesk para 1) avaliação prévia dos requisitos existentes de outros países para divulgar dados pessoais ou medidas que autorizem o acesso de autoridades públicas; e 2) resposta a uma solicitação recebida de uma autoridade policial ou outra autoridade governamental (juntos a "Autoridade Solicitante") para divulgar dados pessoais processados pela Zendesk (daqui em diante "Solicitação de Divulgação de Dados") que está alinhada com nossas Regras Corporativas Vinculantes: Procedimento de Solicitação de Dados pelo Governo (em inglês, Binding Corporate Rules: Government Data Request Procedure). A Política também estabelece o procedimento de notificação da Zendesk para os casos em que tenhamos conhecimento de um acesso direto (isto é, acesso aos dados pessoais sem solicitação prévia e/ou aprovação/colaboração pela Zendesk) pelas autoridades policiais ou outras autoridades governamentais aos dados pessoais processados pela Zendesk (daqui em diante, "Acesso Direto"), que está alinhado com nossas Regras Corporativas Vinculantes: Procedimento de Solicitação de Dados pelo Governo (em inglês, Binding Corporate Rules: Government Data Request Procedure).

1.2 Quando a Zendesk receber um Solicitação de Divulgação de Dados, ela tratará esse Solicitação de Divulgação de Dados de acordo com esta política. Se as leis de proteção de dados aplicáveis exigirem um padrão de proteção de dados pessoais mais elevado do que o exigido por esta política, a Zendesk cumprirá as exigências relevantes daquelas leis de proteção de dados aplicáveis.

 2. Avaliação prévia

2.1 Antes da Zendesk realizar transferências internacionais de dados pessoais sujeitos aos requisitos desta Política de Controlador e/ou Processador, a Zendesk realizará uma avaliação das leis e práticas do país de destino em relação aos requisitos de Solicitação de Divulgação de Dados ou medidas que permitem o Acesso Direto (inclusive em trânsito) que poderia impedir a Zendesk de cumprir suas obrigações sob a respectiva Política de Controlador/Processador, tais como práticas que não respeitam a essência dos direitos e liberdades fundamentais e excedam o que é necessário e proporcional em uma sociedade democrática, bem como as limitações e proteções aplicáveis. Tal avaliação deve ser realizada à luz das circunstâncias específicas da transferência, e de qualquer transferência futura prevista (incluindo finalidades, localização e setor em que a transferência e o processamento relacionado ocorrem, tipos de entidades envolvidas no processamento, categorias/formato de dados pessoais transferidos e canais de transmissão utilizados) e determinar se são necessárias proteções contratuais, técnicas ou organizacionais adicionais (seja durante a transmissão de dados pessoais ou em repouso). A avaliação (e as as proteções, conforme aplicáveis) serão comunicadas pelos membros da equipe de privacidade a todos os Membros do Grupo. A Zendesk monitorará razoavelmente os desdobramentos futuros das leis do país de destino para, conforme apropriado, considerar os impactos que tais mudanças possam ter na avaliação inicial que realizou. Os Membros do Grupo atuando como importadores de dados sob esta Política de Controlador e/ou Processador deverão comunicar razoavelmente tais mudanças de que tomem conhecimento aos Membros do Grupo/clientes atuando como exportadores de dados e ao Membro do Grupo EEA com responsabilidades de proteção de dados.

 2.2 Quando a Zendesk determinar que proteções adicionais devem ser implementadas para atender às conclusões da avaliação no parágrafo 2.1, a Zendesk notificará o Membro apropriado do Grupo EEA com as devidas responsabilidades de proteção de dados e os membros relevantes do Conselho de Privacidade ou uma equipe de privacidade mais ampla serão envolvidos a fim de refletir suas opiniões a respeito de tais proteções.

 2.3 A Zendesk documentará tal avaliação, conforme consta no parágrafo 2.1, bem como medidas adicionais, conforme previsto no parágrafo 2.2, e, mediante solicitação, as colocará à disposição da autoridade supervisora competente.

2.4 Quando a Zendesk determinar que medidas adicionais eficazes são necessárias para cumprir suas obrigações sob a respectiva Política de Controlador/Processador, no entanto, não identificar nenhuma medida possível, ou se instruída pela autoridade supervisora competente, a equipe de privacidade se compromete a suspender as transferências relevantes (incluindo transferências para as quais a mesma avaliação e raciocínio levariam à mesma conclusão) e informar todos os Membros do Grupo envolvidos sobre estas. Após tal suspensão, as entidades exportadoras de dados pessoais sob esta Política de Controlador e/ou Processador podem encerrar tais transferências de dados pessoais e os dados pessoais, que não estavam sujeitos às proteções suficientes exigidas sob a Política de Controlador/Processador, podem ser devolvidos à entidade exportadora e/ou destruídos.

3. Princípio Geral sobre Solicitação de Divulgação de Dados

3.1 Como princípio geral, a Zendesk não divulga dados pessoais em resposta a um Solicitação de Divulgação de Dados, a menos que:

- a divulgação seja uma obrigação legal da Zendesk; ou

- levando em conta a natureza, contexto, propósito, escopo e urgência do Solicitação de Divulgação de Dados e os direitos de privacidade e liberdade de quaisquer indivíduos afetados implique em risco iminente de danos graves que justificam o cumprimento das Solicitações de Divulgação de Dados em qualquer situação.

3.2 Por esse motivo, exceto se legalmente proibido de fazê-lo ou haja um risco iminente de danos graves, a Zendesk notificará e consultará as autoridades competentes de proteção de dados (e quando processar os dados pessoais em nome de um cliente, o cliente) para tratar o Solicitação de Divulgação de Dados.

 4. Gerenciamento de uma Solicitação de Divulgação de Dados

4.1 Se um Membro do Grupo Zendesk receber uma Solicitação de Divulgação de Dados, o membro que recebeu a solicitação deverá encaminhá-la ao Jurídico imediatamente após o seu recebimento, indicando a data em que foi recebida juntamente com qualquer outra informação que possa ajudar a Equipe Jurídica a responder à solicitação. Da mesma forma, se um Membro do Grupo Zendesk tomar conhecimento de qualquer Acesso Direto, deverá comunicá-lo imediatamente à Equipe Jurídica, indicando a data em que ocorreu juntamente com qualquer outra informação que possa ajudar a Equipe Jurídica a responder de acordo com esta Política.

4.2 O pedido da Autoridade Solicitante não precisa ser feito por escrito, feito sob uma ordem judicial, ou mencionar a lei de proteção de dados para qualificar-se como Solicitação de Divulgação de Dados. Qualquer Solicitação de Divulgação de Dados, seja esta realizada de qualquer forma, deverá ser notificada à Equipe Jurídica para revisão.

 4.3 A Equipe Jurídica da Zendesk analisará cuidadosamente cada Solicitação de Divulgação de Dados e Acesso Direto, caso a caso. A Equipe Jurídica entrará em contato com a Equipe de Privacidade e com um consultor externo, conforme necessário, para determinar a natureza, contexto, propósito, escopo e urgência do Solicitação de Divulgação de Dados/Acesso Direto, e sua validade sob as leis aplicáveis e princípios de cooperação internacional, para identificar se será necessária uma ação para contestar o Solicitação de Divulgação de Dados/Acesso Direto, inclusive por meio de um recurso à Autoridade Solicitante, e/ou buscando medidas provisórias com o intuito de suspender os efeitos do pedido até que a autoridade judicial competente tenha decidido sobre seu mérito ou, de outra forma, exigindo a divulgação nos termos da lei processual aplicável, conforme o caso, e/ou notificar o cliente e/ou as autoridades competentes de proteção de dados de acordo com o parágrafo 4.

 5. Aviso de um Solicitação de Divulgação de Dados/Acesso Direto

5.1 Aviso ao cliente

 5.1.1 Se uma solicitação diz respeito a dados pessoais para os quais um cliente é o controlador, via de regra, a Zendesk solicitará à Autoridade Solicitante que faça a Solicitação de Divulgação de Dados diretamente ao cliente relevante. Se a Autoridade Solicitante concordar, a Zendesk dará suporte ao cliente de acordo com os termos de seu contrato para responder à Solicitação de Divulgação de Dados.

 5.1.2 Se isto não for possível (por exemplo, porque a Autoridade Solicitante se recusa a fazer o Solicitação de Divulgação de Dados diretamente ao cliente ou não conhece a identidade do cliente), a Zendesk notificará e fornecerá ao cliente os detalhes do Solicitação de Divulgação de Dados antes de divulgar quaisquer dados pessoais, a menos que seja legalmente proibido de fazê-lo, ou quando existir um risco iminente de dano grave que proíba a notificação prévia.

 5.1.3 Se a Zendesk tomar conhecimento de um Acesso Direto referente a dados pessoais para os quais um cliente é o controlador, a Zendesk notificará e fornecerá ao cliente os detalhes de tal Acesso Direto, a menos que seja legalmente proibido de fazê-lo ou quando existir um risco iminente de dano grave que proíba tal notificação.

 5.2 Aviso às autoridades competentes de proteção de dados

5.2.1 Se a Autoridade Solicitante estiver em um país que não fornece um nível adequado de proteção dos dados pessoais em relação a tal solicitação, de acordo com as leis de proteção de dados aplicáveis, a Zendesk então também deixará a solicitação pendente a fim de notificar e consultar as autoridades competentes de proteção de dados, a menos que seja legalmente proibido de fazê-la ou onde exista um risco iminente de danos graves que proíba a notificação prévia.

 5.2.2 Se uma autoridade policial ou outra autoridade governamental que realizou um Acesso Direto estiver em um país que não fornece um nível adequado de proteção dos dados pessoais em relação a tal solicitação, de acordo com as leis de proteção de dados aplicáveis, então a Zendesk também notificará e consultará as autoridades competentes de proteção de dados, a menos que legalmente proibido de fazê-la ou quando existir um risco iminente de dano grave que proíba a notificação prévia.

5.2.3 Quando a Zendesk estiver proibida de notificar as autoridades competentes de proteção de dados e/ou de suspender a solicitação, a Zendesk envidará seus melhores esforços (levando em conta a natureza, contexto, propósito, escopo e urgência do pedido) para informar a autoridade/Autoridade Solicitante que executou o Acesso Direto sobre suas obrigações sob a lei de proteção de dados aplicável e para obter o direito de revogar esta proibição. Tais esforços podem incluir requerer à Autoridade Solicitante/autoridade que realizou o Acesso Direto que o pedido permaneça em espera para que a Zendesk possa consultar as autoridades competentes de proteção de dados, ou para permitir a divulgação do acesso a pessoas específicas do cliente da Zendesk, e também pode, em circunstâncias apropriadas, incluir a solicitação de uma ordem judicial para este fim. A Zendesk manterá e, mediante solicitação cabível fornecerá a seus clientes e autoridades competentes de proteção de dados, um registro escrito dos esforços que envidar, de acordo com suas práticas estabelecidas de manutenção de registros comerciais, a menos que seja legalmente proibida de fazê-la.

 6. Relatórios de transparência

6.1 A Zendesk se compromete a preparar um relatório semestral (um "Relatório de Transparência") que reflita o número e o tipo de Solicitações de Divulgação de Dados que recebeu durante os seis meses anteriores, o qual poderá ser limitado por lei ou ordem judicial aplicável. A Zendesk publicará o Relatório de Transparência em seu website e disponibilizará o relatório mediante solicitação às autoridades competentes de proteção de dados.

7. Transferências em massa

7.1 Em hipótese alguma qualquer Membro do Grupo transferirá dados pessoais para uma Autoridade Solicitante de forma massificada, desproporcional e indiscriminada que vá além do necessário em uma sociedade democrática.