# CONTRATO DE PROTECAO DE DADOS

## PREÂMBULO

Este Contrato de Proteção de Dados da Criteo (doravante denominado “DPA”) complementa os Termos de Serviço Gerais da Criteo (os “Termos”) e os Termos de Serviço Específicos da Criteo ou qualquer outro contrato aplicável com o Parceiro (coletivamente, o “Contrato”), e é incorporado ao Contrato entre a Criteo e o Parceiro para o fornecimento dos Serviços da Criteo.

Este DPA descreve as obrigações de proteção de dados e segurança do Parceiro e Criteo SA (RCS 484 786 249), exceto quando o público selecionado pelo Parceiro estiver nos Estados Unidos da América, caso em que este DPA será vinculativo para o Parceiro e para a Criteo Corp. com relação a qualquer Processamento de Dados Pessoais realizado em conexão com o fornecimento dos Serviços e descrito no Aviso de Privacidade de Anúncios da Criteo, disponível em www.criteo.com/privacy incluindo o Processamento de Dados de Serviço se, e somente se, esses dados contiverem Dados Pessoais, de acordo com os requisitos da Lei de Proteção de Dados.

## 1 Definições

Quaisquer termos iniciados por letra maiúscula e não definidos neste DPA terão o significado que lhes é atribuído no Contrato.

"Autoridade Reguladora" significa a autoridade pública aplicável ou agência governamental responsável por supervisionar a conformidade com a Lei de Proteção de Dados, incluindo, entre outros: a CNIL francesa (autoridade supervisora da Criteo), o Gabinete do Comissário de Informações do Reino Unido, a Agência de Proteção à Privacidade da Califórnia ou ainda os procuradores gerais dos estados dos EUA.

"Consentimento" significa qualquer indicação livremente dada, específica, informada e inequívoca por meio de uma ação afirmativa clara do Titular de Dados concordando com o Processamento de seus Dados Pessoais.

"Lei de Proteção de Dados" significa toda e qualquer lei e regulamentação internacional, nacional, federal e estadual aplicável relacionada à proteção, à privacidade de dados e Processamento de Dados Pessoais, incluindo, entre outros: (a) o Regulamento Geral de Proteção de Dados da União Europeia ("EU GDPR"), (b) a Diretiva ePrivacy e qualquer legislação nacional que implemente essa diretiva(c) a Lei de Proteção de Dados do Reino Unido ("UK GDPR"), (d) a Lei de Privacidade do Consumidor da Califórnia ("CCPA") e a Lei de Direitos de Privacidade da Califórnia ("CPRA"), (e) qualquer outra lei estadual dos EUA sobre proteção de dados ou privacidade, incluindo, entre outras, as leis da Virgínia, Colorado, Connecticut, Utah, Oregon, Texas, Montana, Delaware, Iowa, Nebraska, New Hampshire, New Jersey, Indiana, Kentucky, Maryland, Minnesota, Rhode Island, Tennessee, bem como quaisquer leis estaduais futuras ou alteradas; (f) a Lei Geral de Proteção de Dados brasileira ("LGPD"); (g) a Lei Japonesa de Proteção de Informações Pessoais ("APPI"); (h) a Lei de Proteção de Informações Pessoais da Coreia ("PIPA"); (i) qualquer legislação de alteração ou substituição (ou similar).

## "Partilha"

significa partilhar, alugar, divulgar, disseminar, disponibilizar, transferir ou, de qualquer outra forma, comunicar, oralmente, por escrito, por meios eletrónicos ou por outros meios, as Informações Pessoais de um indivíduo a um Terceiro para fins de publicidade comportamental entre contextos (conforme definido pela CCPA), independentemente de haver ou não contraprestação monetária ou outra contrapartida de valor.

## "Processamento"

significa qualquer operação ou conjunto de operações realizadas em Dados Pessoais ou em conjuntos de Dados Pessoais, seja ou não por meios automatizados, tais como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou disponibilização de outra forma.

## "Titular de Dados"

significa uma pessoa física que possa ser identificado, direta ou indiretamente, e cujos Dados Pessoais sejam tratados no âmbito da prestação dos Serviços relevantes.

## "Violação de Dados Pessoais"

“Violação de Dados Pessoais” significa uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a Dados Pessoais.

## "Terceiro"

## 2 Âmbito e Funções das Partes

Este DPA aplica-se ao Tratamento de Dados Pessoais realizado no contexto da prestação dos Serviços contratados pelo Parceiro, em que, para os fins do RGPD da UE e do RGPD do Reino Unido, a Criteo e o Parceiro atuam como Responsáveis independentes pelo tratamento, exceto no que se refere à leitura/escrita de informações em dispositivos, para a qual a Criteo e o Parceiro atuam como Corresponsáveis pelo tratamento. Para os fins da CCPA, o Parceiro atua como Empresa e a Criteo como Terceiro.

## 3 Conformidade com a Lei

**3.1** Cada Parte deverá cumprir e ser capaz de demonstrar conformidade com as respectivas obrigações nos termos da Lei de Proteção de Dados e de acordo com este DPA.

**3.2** Cada Parte declara e garante que: (i) não deverá, por meio de qualquer ação ou omissão, colocar a outra Parte em violação da Bulk Data Transfer Rule por meio da utilização de Dados Pessoais; (ii) não é uma covered person (conforme definida na Bulk Data Transfer Rule) nem é controlada, direta ou indiretamente, por uma covered person; (iii) não está localizada em um country of concern (conforme definido na Bulk Data Transfer Rule), seja por meio da presença de escritório ou de pessoal; e (iv) deverá assegurar que nenhum Dado Pessoal associado a Titulares de Dados dos EUA seja transferido para ou tornado acessível, direta ou indiretamente, a uma covered person ou a um country of concern de forma que não mantenha a plena conformidade de ambas as Partes com a Bulk Data Transfer Rule. Se uma Parte for uma foreign person (conforme definida na Bulk Data Transfer Rule), mas não uma covered person, deverá comunicar imediatamente à outra Parte e ao U.S. Department of Justice, em conformidade com o 28 C.F.R. § 202.302, qualquer violação conhecida ou suspeita das declarações acima. Mediante solicitação por escrito de uma Parte, a outra Parte deverá fazer com que um representante autorizado dessa Parte assine uma certificação atestando a conformidade com esta seção e com a Bulk Data Transfer Rule.

**4.1** Uma Parte não divulgará Dados Pessoais para a outra Parte, exceto quando a Parte divulgadora garantir que essa divulgação está em conformidade com a Lei de Proteção de Dados e que cumpriu com qualquer requisito aplicável de informação, notificação ou autorização ou consentimento da(s) autoridade(s) pública(s) relevante(s) ou dos Titulares de Dados relevantes, com relação a quaisquer Dados Pessoais fornecidos pela Parte divulgadora à outra Parte.

Nada neste DPA deverá proibir ou limitar os direitos da Criteo de implementar a anonimização, conforme definido, tomar medidas razoáveis para assegurar que os dados desidentificados não possam ser associados a um indivíduo ou domicílio; (ii) comprometer-se publicamente a manter e utilizar os dados desidentificados apenas de forma desidentificada e a não tentar reidentificar os dados, salvo se de outro modo permitido pela Legislação de Proteção.

**5.1** As Partes deverão cooperar para cumprir a Lei de Proteção de Dados e para cumprir suas obrigações de acordo com este DPA. As Partes manterão a documentação apropriada sobre as atividades de Processamento realizadas por cada uma.

**5.3** No caso de uma investigação, processo, solicitação formal de informações ou documentação, ou qualquer evento.

**5.4** No caso de qualquer alteração ou nova Lei de Proteção de Dados, as Partes deverão concordar mutuamente com quaisquer alterações ou revisões razoavelmente necessárias a este DPA. A Criteo e o Parceiro, cada um, nomearam um Diretor de Proteção de Dados (DPO - Data Protection Officer). O DPO da Criteo pode ser contatado pelo endereço dpo@criteo.com. Os detalhes de contato do DPO do Parceiro devem ser comunicados à Criteo por escrito.

## 7 Obrigações das Partes

7.1 Em relação às atividades de Processamento que cada Parte realiza, cada Parte concorda que deverá:

a) Cumprir com quaisquer requisitos decorrentes da Lei de Proteção de Dados e cumprir suas obrigações nos termos deste DPA e/ou solicitar ao outro Controlador que cumpra suas obrigações de forma a fazer com que o outro Controlador não viole nenhuma de suas obrigações nos termos da Lei de Proteção de Dados.

b) Levar em conta todos os princípios de proteção de dados previstos na Lei de Proteção de Dados, incluindo, entre outros, os princípios de limitação de finalidade, minimização de dados, precisão, limitação de armazenamento, segurança, integridade e confidencialidade, transparência e proteção de Dados Pessoais por princípio (by design) e por padrão (by default).

c) Manter um registro do Processamento dos Dados Pessoais sob sua responsabilidade.

d) Implementar medidas técnicas e organizacionais apropriadas para garantir um nível de segurança adequado aos riscos apresentados pelo Processamento dos Dados Pessoais que realiza (inclusive, para o Parceiro, em relação às Propriedades Digitais do Parceiro), em particular para proteger os Dados Pessoais contra destruição acidental ou ilegal ou perda acidental, alteração, divulgação ou acesso não autorizado.

e) Tomar todas as medidas necessárias para lidar com qualquer Violação de Dados Pessoais relacionada aos Dados Pessoais que processa, mitigar seus efeitos, evitar outras Violações de Dados Pessoais e, quando necessário, notificar a(s) Autoridade(s) Reguladora(s) e os Titulares de Dados.

f) Cooperar com a preparação das avaliações de impacto de proteção de dados necessárias.

g) Realizar qualquer avaliação, consulta e/ou notificação às Autoridades Reguladoras de proteção de dados ou aos Titulares de Dados.

h) Tratar todas as solicitações e/ou reclamações do Titular de Dados que receber, em particular as solicitações relacionadas ao exercício de seus direitos sob a Lei de Proteção de Dados, incluindo os direitos de acesso, retificação, exclusão e objeção e o direito de retirar o Consentimento. Quando uma Parte receber uma solicitação de direito do Titular de Dados em relação aos Dados Pessoais processados pela outra Parte, essa Parte receptora direcionará o Titular de Dados para a política de privacidade da outra Parte, explicando como exercer sua solicitação de direito junto a essa outra Parte, a fim de permitir que essa outra Parte responda diretamente à solicitação do Titular de Dados.

## 9 Obrigações do Parceiro

9.1 O Parceiro será o único responsável, de acordo com e na medida exigida pela Lei de Proteção de Dados, por:

a) fornecer aos Titulares de Dados todas as informações necessárias de acordo com a Lei de Proteção de Dados, inclusive de acordo com os Artigos 13 e 14 do GDPR, em relação ao Processamento dos Dados Pessoais de acordo com este DPA;
b) fornecer aviso adequado nas Propriedades Digitais do Parceiro sobre qualquer Processamento relevante de Dados Pessoais realizado pela Criteo incluindo por meio da disponibilização de um link para a política de privacidade da Criteo (www.criteo.com/privacy);
c) coletar e documentar o Consentimento ou as disposições de opt-out, conforme aplicável, obtidos dos Titulares dos Dados.

d) implementar e obter mecanismos de escolha para solicitar o Consentimento válido dos Titulares de Dados ou oferecer válidas provisões de opt-out, conforme requerido e em cumprimento da Lei de Proteção de Dados e, quando aplicável, com os requisitos específicos das Autoridades Reguladoras;
e) nos casos em que o Parceiro seja obrigado pela Legislação de Proteção de Dados a obter um Consentimento válido antes do Tratamento de Dados Pessoais no âmbito dos Serviços, deverá oferecer aos Titulares dos Dados o direito de optar pela não Venda e não Partilha dos seus Dados Pessoais, bem como pela não utilização desses Dados Pessoais para fins de publicidade comportamental entre contextos;
f) solicitar o Consentimento dos Titulares de Dados quando o período de validade do Consentimento (conforme a Lei de Proteção de Dados) tiver expirado;
g) quando aplicável, o Parceiro declara e garante que cada seu parceiro de tecnologia de publicidade terceirizado cujo espaço publicitário é disponibilizado nas Propriedades Digitais para venda por meio da Criteo Platform (cada um deles um “Fornecedor Terceirizado Consentido”) cumpre integralmente as disposições deste DPA; e

h) fornecer prontamente à Criteo, mediante solicitação e a qualquer momento, prova de que o Consentimento do Titular de Dados foi obtido pelo Parceiro.

Ultima actualização: Maio 2026.