Adendo sobre Processamento de Dados

Divulgação de Informações às Autoridades Policiais

Introdução

Este Adendo de Tratamento de Dados (“DPA”) é celebrado a partir da Data de Entrada em Vigor entre a 3CX Limited e/ou qualquer outra empresa relacionada e/ou afiliada do Grupo 3CX (“3CX”) e o Cliente (cada um deles uma “parte”, em conjunto as “partes”), nos termos do Contrato para a prestação dos Serviços 3CX ao Cliente. Este DPA é incorporado por referência ao Contrato e estabelece os termos que se aplicam quando Dados Pessoais do Espaço Econômico Europeu são processados pela 3CX nos termos do Contrato em nome do Cliente. Outros termos em maiúsculas utilizados, mas não definidos neste DPA, têm os mesmos significados estabelecidos no Contrato.

Endereços das sedes da 3CX:

3CX Ltd

Rua Markou Drakou, 4, Engomi

2409 Nicósia, Chipre

3CX GmbH

Rua Walter-Gieseking, 22

30159, Hanôver, Alemanha

1. Definições

1.1 Para os fins deste DPA:

(a) “Contrato” significa o contrato eletrônico ou o contrato de licença de usuário final (EULA) celebrado entre o Cliente e a 3CX para a prestação de quaisquer serviços da 3CX (“Serviços”) ao Cliente.

(b) “Afiliada” significa uma entidade que, direta ou indiretamente, controla, é controlada por ou está sob controle comum com outra entidade.

(c) “Leis de Proteção de Dados” significa todas as leis e regulamentos de proteção de dados e privacidade aplicáveis ao tratamento de Dados Pessoais por uma das partes nos termos do Contrato, incluindo, entre outros: (i) o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (“RGPD”); (ii) a Diretiva 2002/58/CE relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas; (iii) as implementações nacionais aplicáveis de (i) e (ii); e (iv) no que diz respeito ao Reino Unido (“RU”), qualquer legislação nacional aplicável que substitua ou transponha para o direito interno o RGPD ou qualquer outra lei relativa a dados e privacidade aplicável no RU e, para transferências a partir do RU, o Acordo de Transferência Internacional de Dados do RU (IDTA) ou o Adendo do RU às Cláusulas Contratuais Padrão da UE, conforme aplicável.

(d) «EEE» significa Espaço Económico Europeu.

(e) “Responsável pelo tratamento” significa a entidade que, individualmente ou em conjunto com outras, determina as finalidades e os meios do tratamento de Dados Pessoais;

(f) “Subcontratado” significa a entidade que trata Dados Pessoais em nome do Responsável pelo Tratamento;

(g) «Dados Pessoais» significa qualquer informação relativa a uma pessoa física identificada ou identificável (conforme definido no artigo 4.º do RGPD);

(h) “Incidente de segurança” significa a destruição acidental ou ilícita, a perda, a alteração e a divulgação não autorizada e/ou o acesso não autorizado a Dados Pessoais;

(i) “Cláusulas Contratuais Padrão” significa as cláusulas contratuais padrão para a transferência de dados pessoais para países terceiros, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, estabelecidas pela Decisão de Execução (UE) 2021/914 da Comissão.

2. Aplicabilidade do DPA

2.1 Aplicabilidade do DPA: Este DPA será aplicável apenas na medida em que a 3CX processe Dados Pessoais, originários do EEE ou do Reino Unido, em nome de um Cliente e/ou de uma Afiliada do Cliente localizada no EEE ou no Reino Unido. Além disso, este DPA amplia a cobertura das atividades de processamento de dados previstas no Contrato para incluir a Suíça. As partes reconhecem e concordam que as disposições deste DPA, incluindo, mas não se limitando às relacionadas ao tratamento de Dados Pessoais, Segurança, Transferências de Dados, obrigações específicas do RGPD e quaisquer outras cláusulas relevantes, se aplicarão mutatis mutandis ao tratamento de Dados Pessoais originários da Suíça, além do Espaço Econômico Europeu (EEE) e do Reino Unido (RU). O termo “Leis de Proteção de Dados”, conforme definido neste DPA, abrangerá as leis e regulamentos aplicáveis de proteção de dados e privacidade da Suíça, incluindo a Lei Federal Suíça de Proteção de Dados (FADP) e qualquer outra legislação suíça relevante que regule o tratamento de Dados Pessoais. As transferências da Suíça basear-se-ão nas Cláusulas Contratuais Típicas da UE, tal como reconhecidas pela FDPIC, com as adaptações específicas suíças necessárias (por exemplo, referências à FADP suíça, à autoridade competente e à lei aplicável).

3. Funções e Responsabilidades

3.1 Funções das Partes: Caso as Leis de Proteção de Dados se apliquem ao tratamento de Dados Pessoais por qualquer uma das partes, as partes reconhecem e concordam que, no que diz respeito ao tratamento de Dados Pessoais, o Cliente é o Controlador e a 3CX é o Processador agindo em nome do Cliente, conforme descrito em mais detalhes no Contrato, e ambas as partes deverão cumprir suas obrigações nos termos das Leis de Proteção de Dados, com base em padrões reconhecidos do setor.

3.2 Limitação da finalidade: A 3CX tratará os Dados Pessoais para as finalidades descritas no Anexo A, salvo se a legislação aplicável determinar o contrário.

3.3 Segurança. A 3CX adotará medidas técnicas e organizacionais adequadas para garantir a segurança dos Dados Pessoais. A 3CX manterá um programa de segurança da informação e gestão de riscos baseado nas melhores práticas comerciais, a fim de preservar a confidencialidade, a integridade e a acessibilidade dos Dados Pessoais, por meio de medidas administrativas, técnicas e físicas em conformidade com os padrões e práticas geralmente reconhecidos no setor. A 3CX implementará medidas técnicas e organizacionais adequadas para proteger os Dados Pessoais contra destruição acidental ou ilícita, perda, alteração, divulgação não autorizada ou acesso.

3.4. Atualizações de segurança: O Cliente é responsável por analisar as informações disponibilizadas pela 3CX relativas à segurança de dados e por determinar, de forma independente, se o Serviço atende aos requisitos e às obrigações legais do Cliente nos termos das Leis de Proteção de Dados. O Cliente reconhece que a Segurança está sujeita ao progresso e desenvolvimento técnico e que a 3CX pode atualizar ou modificar a Segurança periodicamente, desde que tais atualizações e modificações não resultem na degradação da segurança geral do Serviço prestado ao Cliente. A 3CX notificará o Cliente sobre quaisquer reduções significativas nas medidas de segurança.

3.5. Transferência de Dados Pessoais para fora do EEE ou do Reino Unido: Na medida em que a 3CX processe (ou providencie o processamento) quaisquer Dados Pessoais originários do EEE ou do Reino Unido em um país que não tenha sido designado pela Comissão Europeia como oferecendo um nível adequado de proteção para Dados Pessoais, tais Dados Pessoais deverão contar com proteção adequada (na acepção das Leis de Proteção de Dados). Na medida em que a 3CX processe (ou providencie o processamento) quaisquer desses Dados Pessoais fora do EEE ou do Reino Unido, ela se compromete a aplicar um mecanismo de transferência em conformidade com as Leis de Proteção de Dados, tais como, mas não se limitando a, Cláusulas Contratuais Padrão. Os subprocessadores localizados fora do EEE ou do Reino Unido são obrigados a possuir sua própria declaração de conformidade com o GDPR. A 3CX realizará avaliações de impacto da transferência quando exigido por lei e disponibilizará tais avaliações ao Cliente mediante solicitação (sujeitas a expurgos).

3.6. Conformidade: O Cliente, na qualidade de Responsável pelo tratamento, será responsável por garantir que:

(a) cumpriu, e continuará a cumprir, todas as Leis de Proteção de Dados, inclusive em quaisquer instruções que tenha emitido à 3CX nos termos deste Contrato e do DPA; e

(b) tem, e continuará a ter, o direito de transferir ou fornecer acesso aos Dados Pessoais à 3CX para tratamento, em conformidade com os termos do Contrato e do presente DPA. A 3CX deverá informar imediatamente o Cliente caso uma instrução seja ilegal ou infrinja as Leis de Proteção de Dados.

4. Obrigações Decorrentes do RGPD

4.1 Âmbito de aplicação desta seção: A presente Seção 4 aplica-se ao tratamento de Dados Pessoais que se enquadrem no âmbito de aplicação do RGPD ou que tenham origem no EEE ou no Reino Unido.

4.2 Confidencialidade do tratamento: A 3CX deve garantir que qualquer pessoa autorizada a tratar Dados Pessoais esteja sujeita a um dever de confidencialidade (seja ele contratual ou legal).

4.3 Subcontratados. O Cliente concorda que a 3CX pode contratar afiliadas da 3CX e subcontratados terceirizados (coletivamente, “Subcontratados”) para tratar os Dados Pessoais em nome da 3CX. A 3CX imporá a tais Subprocessadores termos de proteção de dados que protejam os Dados Pessoais de acordo com o mesmo padrão previsto neste DPA e permanecerá responsável por qualquer violação do DPA causada por um Subprocessador. Os Subprocessadores contratados pela 3CX estão listados na Lista de Subprocessadores da 3CX e estão disponíveis no Anexo B. A 3CX notificará o Cliente com pelo menos 30 dias de antecedência antes de adicionar um Subprocessador.

4.4 Alterações nos subcontratados. A 3CX poderá adicionar ou realizar alterações nos subcontratados. Caso o Cliente se oponha à nomeação de um subcontratado adicional, terá o direito de suspender ou rescindir o serviço da 3CX afetado, de acordo com as disposições de rescisão do Contrato.

4.5 Incidentes de segurança. Ao tomar conhecimento de um incidente de segurança, a 3CX deverá notificar o Cliente sem demora injustificada e envidar todos os esforços para notificá-lo no prazo de 48 horas após tomar conhecimento do incidente, utilizando as informações de contato fornecidas pelo Cliente no Portal do Cliente, e deverá fornecer as informações oportunas que o Cliente possa razoavelmente exigir, inclusive para permitir que o Cliente cumpra quaisquer obrigações de notificação de violação de dados previstas nas Leis de Proteção de Dados.

4.6 Cooperação e direitos dos titulares dos dados. A 3CX, levando em consideração a natureza do tratamento, prestará assistência razoável e fornecerá ferramentas, quando disponíveis, ao Cliente, na medida do possível, para permitir que este responda às solicitações de um titular de dados que pretenda exercer seus direitos nos termos das Leis de Proteção de Dados. Caso tal solicitação seja feita diretamente à 3CX, a 3CX informará imediatamente o titular dos dados para que entre em contato com o Cliente a esse respeito. É de responsabilidade exclusiva do Cliente garantir que qualquer administrador designado para a conta 3CX do Cliente, com a função de gerenciar e atender às solicitações dos titulares dos dados, tenha autoridade adequada para atender a tais solicitações.

4.7 Avaliações de impacto sobre a proteção de dados: A 3CX, na medida exigida pelas Leis de Proteção de Dados, mediante solicitação do Cliente e às custas deste, prestará ao Cliente assistência razoável nas avaliações de impacto sobre a proteção de dados ou nas consultas prévias às autoridades de proteção de dados que o Cliente seja obrigado a realizar nos termos das Leis de Proteção de Dados.

4.8 Exclusão ou devolução de dados: Após a rescisão ou o término do Contrato, a 3CX deverá (conforme a escolha do Cliente) excluir ou devolver ao Cliente todos os Dados Pessoais (incluindo cópias) em sua posse ou sob seu controle, exceto que esta exigência não se aplicará na medida em que a 3CX seja obrigada pela legislação aplicável a reter alguns ou todos os Dados Pessoais, ou aos Dados Pessoais que tenha arquivado em sistemas de backup, os quais a 3CX deverá isolar de forma segura, proteger contra qualquer processamento posterior e, eventualmente, excluir de acordo com as políticas de exclusão da 3CX, exceto na medida exigida pela legislação aplicável.

4.9 Auditorias/inspeções: A 3CX deverá disponibilizar ao Cliente todas as informações necessárias para comprovar o cumprimento do presente DPA e permitir e contribuir para auditorias, incluindo inspeções, realizadas pelo Cliente ou por outro auditor designado pelo Cliente. Esta obrigação está limitada a uma auditoria por Cliente por ano, desde que o Cliente forneça um aviso prévio razoável de 30 dias.

5. Diversos

5.1 Salvo nos casos alterados pelo presente DPA, o Contrato permanecerá em pleno vigor e efeito.

5.2 Em caso de conflito entre o Contrato e este DPA, prevalecerão os termos deste DPA.

5.3 Quaisquer reclamações apresentadas nos termos deste DPA estarão sujeitas aos termos e condições, incluindo, mas não se limitando a, as exclusões e limitações estabelecidas no Contrato. Nada no presente DPA limita a responsabilidade nos termos das Cláusulas Contratuais Padrão.

5.4 Quaisquer esclarecimentos sobre este DPA ou outras consultas relacionadas à proteção de dados devem ser encaminhados aos endereços das sedes principais acima mencionados ou por e-mail para [email protected]

ANEXO A

Detalhes do Tratamento

Natureza e Finalidades do Tratamento

A 3CX é uma solução de comunicações baseada em padrões abertos que oferece Comunicações Unificadas completas.

A 3CX oferece software, hospedagem de instâncias e serviços em nuvem.

As finalidades do tratamento são:

• Registro e gerenciamento de contas através do Portal do Cliente 3CX.
• Identificação do cliente para fins de pedidos, licenciamento e correspondência por e-mail.
• Identificação do administrador do Sistema de Comunicações para correspondência por e-mail.
• Identificação da máquina do Sistema de Comunicações para fins de licenciamento.
• Identificação dos usuários do Sistema de Comunicações para uma experiência personalizada em videoconferência.
• Emissão de certificados da 3CX Academy.
• Processamento de leads de usuários finais com licenças gratuitas para potenciais vendas.
• Análise dos dados de uso para fins de controle geral de qualidade, geração de relatórios e resolução de problemas dos Serviços 3CX.
• Envio de notificações por e-mail aos usuários do Sistema de Comunicações quando o SMTP da 3CX é utilizado.
• Solução de problemas e assistência pela equipe da 3CX.

Categorias de Titulares de Dados

Clientes e usuários finais que utilizam os Serviços, bem como qualquer titular de dados que utilize os Serviços da 3CX a pedido e em conexão com as atividades comerciais do Cliente.

Tipos de dados pessoais processados:

A transferência de dados pessoais diz respeito às seguintes categorias de dados dos titulares de dados:

• Informações de identificação do Cliente, dados de contato (endereço, número de telefone, endereço de e-mail, número de fax), nome da empresa.
• Informações de identificação para cada ramal do Sistema de Comunicações 3CX como parte do recurso de videoconferência, incluindo número do ramal, nome e sobrenome, endereço de e-mail e nomes amigáveis de reunião na URL do Click2Meet.
• Informações de identificação de cada participante da videoconferência, incluindo nome, endereço de e-mail e endereço IP. O número de telefone do participante também será processado para aqueles que se conectarem por meio da ponte de áudio de discagem da videoconferência.
• Quaisquer outros dados pessoais que o Cliente ou os usuários decidam incluir no conteúdo das comunicações enviadas e recebidas por meio dos Serviços 3CX, incluindo, mas não limitado a, pacotes de suporte, registros, relatórios de falhas, por e-mail, tickets, chamadas ou qualquer outro meio.

Os dados pessoais transferidos à 3CX para processamento são determinados e controlados pelo Cliente, a seu exclusivo critério. Assim, a 3CX não tem controle sobre o volume e a sensibilidade dos dados pessoais processados pelo Cliente ou pelos usuários por meio de seus Serviços. A 3CX não monitora nem acessa o conteúdo do Cliente, a menos que seja necessário para suporte e tal processamento é realizado sob demanda, de forma limitada e registrada.

Categorias Especiais de Dados

A 3CX não coleta nem processa intencionalmente nenhuma categoria especial de dados na prestação de seus Serviços.

Duração do Processamento

Os dados pessoais serão processados durante a vigência do Contrato, ou conforme exigido por lei ou acordado entre as partes.

Divulgação de Informações às Autoridades Policiais

O Processador não divulgará Dados Pessoais a nenhuma autoridade policial ou governamental, a menos que tal seja exigido pela legislação aplicável e vinculativa para o Processador.

Caso um pedido seja recebido diretamente pelo Processador, este deverá:

(a) verificar se o pedido é juridicamente válido e se foi devidamente endereçado à entidade 3CX competente;

(b) notificar o responsável pelo tratamento (a menos que tal seja proibido por lei); e

(c) divulgar apenas os Dados Pessoais mínimos exigidos por lei.

O Processador não é obrigado a tomar medidas com base em notificações informais ou alegações sem fundamento apresentadas por terceiros e pode solicitar que tais partes encaminhem suas preocupações aos órgãos competentes responsáveis pela aplicação da lei.

ANEXO B – LISTA DE SUBCONTRATADOS E CONDIÇÕES PARA O SUBCONTRATADO

1. Requisitos Gerais para Subcontratados

1. Contrato por Escrito

A 3CX só poderá contratar subcontratantes mediante um acordo por escrito que imponha obrigações de proteção de dados com um nível de proteção não inferior ao estabelecido no presente Acordo de Tratamento de Dados, conforme exigido pelo Artigo 28.º do RGPD.

2. O Mesmo Nível de Proteção

A 3CX continua a ser inteiramente responsável pelos atos e omissões de seus subcontratantes e deve garantir que cada subcontratante implemente medidas técnicas e organizacionais adequadas, em conformidade com os artigos 28 e 32 do RGPD.

3. Transferências Internacionais

Caso um subcontratado esteja localizado fora do EEE, do Reino Unido ou da Suíça, a 3CX deverá garantir a implementação de um mecanismo de transferência legal, incluindo:

1. Cláusulas Contratuais Padrão da UE
2. Adendo do Reino Unido ou IDTA
3. Cláusulas contratuais padrão adaptadas à legislação suíça

ou qualquer mecanismo sucessor ou alternativo reconhecido pela autoridade competente.

4. Avaliações de Impacto de Transferências

No caso de transferências para fora do EEE/Reino Unido, a 3CX realizará avaliações de impacto da transferência (quando exigido por lei) e disponibilizará um resumo ao Cliente, mediante solicitação.

2. Categorias de Subcontratados

Por uma questão de transparência, a 3CX distingue as seguintes categorias de subcontratados:

5. Subcontratados de Serviços

Subcontratados que processam Dados Pessoais dos Clientes estritamente para a prestação dos Serviços 3CX (por exemplo, hospedagem, notificações push, envio de e-mails).

6. Processadores Corporativos/de Marketing (sem Processamento de Dados Pessoais de Clientes)

Processadores usados para análise e marketing nos sites da 3CX (por exemplo, Google Analytics, Facebook Pixel) não processam quaisquer Dados Pessoais dos Clientes nos termos deste DPA.

Eles são listados apenas por uma questão de transparência e não fazem parte da cadeia de fornecimento do Cliente para a prestação dos Serviços. Os Dados Pessoais do Cliente, conforme definidos neste DPA, nunca são compartilhados com Processadores Corporativos/de Marketing.

3. Notificação ao Cliente e Direito de Objeção

1. Notificação Prévia.

A 3CX notificará o Cliente com pelo menos 30 dias de antecedência sobre a adição ou substituição de um subcontratado de serviços. A notificação será feita por meio do Portal do Cliente ou por e-mail.

2. Direito de Objeção.

Os Clientes podem objetar a um novo subcontratado de serviços por motivos razoáveis relacionados à proteção de dados dentro de 30 dias a partir da notificação.

A 3CX trabalhará de boa-fé com os Clientes para resolver tais objeções. Caso as partes não consigam chegar a uma solução mutuamente aceitável, o Cliente poderá suspender ou encerrar o Serviço afetado e receber um reembolso proporcional das taxas pré-pagas e não utilizadas.

3. Substituição de Emergência.

Em circunstâncias urgentes (por exemplo, falha no serviço), a 3CX poderá nomear temporariamente um subcontratado substituto. A 3CX notificará o Cliente assim que for razoavelmente praticável.

4. Lista Atual de Subcontratados de Serviços

As entidades a seguir são subcontratados de serviços autorizados contratados pela 3CX para dar suporte à prestação dos Serviços.

Cada subcontratado listado processa Dados Pessoais do Cliente apenas para os fins descritos e de acordo com os mecanismos de transferência indicados.

3CX Ltd

3CX Development Ltd

3CX GmbH

3CX USA Corp

Licenciamento e Gerenciamento de Usuários do 3CX – Subcontratados de Serviços

Sistema de Comunicações 3CX – Subcontratados de Serviços

Videoconferência 3CX – Subcontratados de Serviços

5. Processadores Corporativos/de Marketing (sem Processamento nos Termos da DPA)

Os seguintes provedores são utilizados exclusivamente para fins de análise do site da 3CX, otimização de publicidade ou marketing corporativo.

Essas entidades não processam Dados Pessoais dos Clientes fornecidos nos termos deste Acordo de Tratamento de Dados. A inclusão delas tem apenas fins de transparência.

Adições [email protected]:

6. Acesso por Prestadores de Suporte

Nos casos em que um subcontratado de suporte (por exemplo, TeamViewer, Freshdesk) tenha acesso potencial a Dados Pessoais:

4. O acesso é ocasional, limitado e registrado.
5. O acesso ocorre apenas quando o Cliente solicita suporte.
6. O subcontratado está sujeito a obrigações de confidencialidade e de proteção de dados ao nível do tratamento de dados.
7. O subcontratado só poderá acessar os dados estritamente necessários para o desempenho da função de suporte.

Cláusulas Contratuais Padrão

https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32021D0914

Veja Também

• https://www.3cx.com.br/empresa/eula/
• https://www.3cx.com.br/empresa/servicos-transcricao-ia/ 
• https://www.3cx.com.br/empresa/declaracao-rgpd/ 
• https://www.3cx.com.br/empresa/privacy/
• https://www.3cx.com.br/empresa/politica-privacidade/
• https://www.3cx.com.br/empresa/termos-e-condicoes/ 
• https://www.3cx.com/company/hipaa-policy/ 
• https://www.3cx.com.br/empresa/politica-reembolso-e-cancelamento/ 

Última atualização

Este documento foi atualizado pela última vez em 29 de abril de 2026

https://www.3cx.com.br/empresa/processamento-dados/