Anexo das Cláusulas Contratuais-Tipo da Cal.com

Anexo ao Cal.com Acordo de Tratamento de Dados v2.3 — Versão 1.0 — Data de entrada em vigor: 1 de novembro de 2026

Parte 1. Como se aplicam as Cláusulas

1.1 Este Anexo completa as cláusulas contratuais-tipo para a transferência de dados pessoais para países terceiros adotadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia, de 4 de junho de 2021 (as “SCCs”), o Aditamento Internacional do Reino Unido para Transferência de Dados às Cláusulas Contratuais-Tipo da Comissão Europeia, versão B1.0, em vigor desde 21 de março de 2022 (o “Aditamento do Reino Unido”), e as alterações exigidas pelo Encarregado Federal Suíço para a Proteção de Dados e a Informação para transferências sujeitas à Lei Federal Suíça sobre Proteção de Dados (as “Alterações Suíças”), cada uma incorporada pelo §12.4 do Cal.com Acordo de Tratamento de Dados (o “DPA”).

1.2 O texto das SCCs é incorporado por referência exatamente conforme publicado no Jornal Oficial da União Europeia (JO L 199, 7.6.2021, p. 31), disponível em https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Cláusulas Obrigatórias do Aditamento Aprovado, que corresponde ao modelo de Aditamento B.1.0 emitido pelo ICO e apresentado ao Parlamento nos termos da s119A do Data Protection Act 2018 em 2 de fevereiro de 2022, conforme revisto ao abrigo da Secção 18 dessas Cláusulas Obrigatórias. Nenhum dos textos é alterado, exceto através das opções, escolhas e Anexos que as próprias SCCs e o Aditamento do Reino Unido permitem, conforme estabelecido neste Anexo.

1.3 As SCCs aplicam-se às transferências descritas no Anexo I.B que se enquadrem no seu âmbito permitido e exijam essas salvaguardas por nenhum outro mecanismo de transferência válido ao abrigo do DPA §12.2 cobrir a transferência. Pode ser invocada uma decisão de adequação válida e aplicável, incluindo uma que abranja a participação da Cal.com no respetivo Data Privacy Framework, para transferências dentro do seu âmbito. As obrigações existentes ao abrigo das SCCs não são automaticamente extintas; a cessação ou revogação deve cumprir as SCCs e o Aditamento do Reino Unido aplicáveis. Os direitos adquiridos não são afetados.

1.4 As Partes celebram as SCCs através da execução válida do Anexo I.A preenchido, incluindo por uma assinatura eletrónica juridicamente válida incorporada no Acordo ou no DPA. O registo de execução deve identificar as Partes, a versão aplicável do Anexo e a data de entrada em vigor. Mediante pedido, Cal.com fornecerá uma cópia da versão vinculativa entre as Partes.

1.5 Os termos definidos no DPA têm aqui o mesmo significado. “Customer” é o exportador de dados e “Cal.com” é o importador de dados. Em caso de conflito entre este Anexo e as SCCs, prevalecem as SCCs (DPA §12.4(j)); em caso de conflito entre este Anexo e o DPA sobre um ponto que as SCCs deixem às Partes, prevalece este Anexo.

Parte 2. Módulos, opções e escolhas

Parte 3. Anexo I

A. Lista de Partes

Exportador de dados

Importador de dados

B. Descrição da transferência

C. Autoridade de controlo competente

A autoridade de controlo competente específica determinada ao abrigo da Cláusula 13(a) é identificada nas informações específicas do Cliente incorporadas neste Anexo.

Parte 4. Anexo II — Medidas técnicas e organizativas

Este Anexo descreve as medidas que a Cal.com implementa ao abrigo do DPA §5 e da Cláusula 8.6. Está estruturado pelos títulos do Anexo II das SCCs. Cal.com pode atualizar estas medidas ao abrigo do DPA §5.3, desde que a segurança global dos Serviços não seja materialmente reduzida. Cal.com — o inventário de controlos e os relatórios de auditoria independentes estão disponíveis em trust.cal.com; as medidas abaixo, e não o inventário de controlos, são a descrição contratual para a Cláusula 8.6.

Parte 5. Anexo III — Lista de Subcontratantes posteriores

A lista oficial e atual de Subcontratantes posteriores, incluindo nomes das entidades, localizações e finalidades, é publicada em trust.cal.com e é atualizada de acordo com o DPA §6.3. Cal.com fornece a notificação escrita exigida pela Cláusula 9(a), através de um método eletrónico documentado nos termos do DPA §6.3, antes da adição ou substituição de um Subcontratante posterior para o tratamento em causa. Para efeitos da Cláusula 9(a), ao abrigo do Módulo Dois, o Cliente concede à Cal.com autorização geral por escrito para contratar Subcontratantes posteriores da lista acordada em trust.cal.com à data em que as SCCs produzem efeitos entre as Partes. Ao abrigo do Módulo Três, a contratação desses Subcontratantes posteriores exige a autorização geral por escrito do Responsável pelo tratamento em causa. As adições ou substituições estão sujeitas à Cláusula 9(a) e ao DPA §6.3–6.4, na medida em que sejam compatíveis com essa Cláusula.

Como se aplica a Opção 2 da Cláusula 9(a), este Anexo não reproduz a lista.

A Lista de Subcontratantes posteriores identifica os locais de tratamento relevantes para os Dados Pessoais do Cliente. O país de constituição de um Subcontratante posterior não constitui uma declaração sobre o local onde trata os dados. As alterações continuam sujeitas aos requisitos de notificação e autorização aplicáveis. Os fornecedores usados apenas para fins próprios da Cal.com não são Subcontratantes posteriores e não são listados: análises e publicidade do site de marketing (Google Analytics/GTM, X Ads), o CRM próprio da Cal.comCRM próprio (HubSpot) e aplicações que o Cliente liga à sua própria conta de terceiros (Zapier, Dub, Close.com, aplicações GA4/GTM), relativamente às quais o Cliente é o responsável pelo tratamento que dá instruções diretamente a esse fornecedor.

Parte 6. Adenda do Reino Unido — tabelas preenchidas

Tabela 1: Partes. Data de início: a data em que as SCCs produzem efeitos entre as Partes ao abrigo da Parte 1.4. Exportador e Importador: conforme identificados no Anexo I.A, complementados pelo nome comercial de cada Parte, se diferente, morada registada ou morada principal aplicável, e número de registo oficial, se existir. Contactos principais: o cargo e os dados de contacto registados para cada Parte. Assinatura: de acordo com a secção 2 da Adenda do Reino Unido e o registo de assinatura aplicável.

Tabela 2: SCCs selecionadas, Módulos e Cláusulas selecionadas. As SCCs da UE Aprovadas, incluindo as Informações do Apêndice, conforme preenchidas por este Anexo: Módulo Dois ou Módulo Três, conforme aplicável ao abrigo da Parte 2; aplica-se a Cláusula 7; a redação opcional da Cláusula 11 não se aplica; Cláusula 9(a) Opção 2 com o período de notificação indicado na Parte 2 (DPA §6.3); Cláusulas 17 e 18 conforme a Parte 2, sujeitas à secção 15 da Adenda do Reino Unido (que substitui pelas leis e tribunais de Inglaterra e do País de Gales nas matérias regidas pela Adenda do Reino Unido). Cláusula de adesão: aplica-se. Os dados pessoais recebidos do importador são combinados com dados pessoais recolhidos pelo exportador? Não.

Tabela 3: Informações do Apêndice. Anexo 1A: conforme a Parte 3.A. Anexo 1B: conforme a Parte 3.B. Anexo II: conforme a Parte 4. Anexo III: conforme a Parte 5.

Tabela 4: Cessação desta Adenda quando a Adenda Aprovada mudar. O Importador pode fazer cessar a Adenda do Reino Unido conforme previsto na secção 19 da mesma.

Para transferências do Reino Unido, as referências nas SCCs ao GDPR, à lei dos Estados-Membros e à autoridade de controlo são lidas conforme previsto na Adenda do Reino Unido; a autoridade de controlo competente é o UK Information Commissioner.

Parte 7. Alterações suíças

Para transferências sujeitas à Lei Federal Suíça sobre a Proteção de Dados (“FADP”):

(a) as referências ao GDPR são lidas como referências à FADP, e as referências à lei de proteção de dados da UE ou dos Estados-Membros como referências à lei suíça de proteção de dados correspondente, sem alterar as escolhas contratuais de lei aplicável e foro previstas no parágrafo (d), na medida em que a transferência esteja sujeita exclusivamente à FADP; quando uma transferência esteja sujeita tanto ao GDPR como à FADP, as SCCs aplicam-se em paralelo ao abrigo de ambos;

(b) o Swiss Federal Data Protection and Information Commissioner é competente para transferências regidas pela FADP; quando o GDPR também se aplica, a autoridade competente identificada ao abrigo da Cláusula 13 para matérias relativas ao GDPR continua a ser competente;

© o termo “Estado-Membro” não é interpretado de modo a excluir os titulares dos dados na Suíça de intentarem ações relativas aos seus direitos no seu local de residência habitual na Suíça ao abrigo da Cláusula 18©;

(d) a lei aplicável e o foro ao abrigo das Cláusulas 17 e 18 mantêm-se conforme a Parte 2, salvo quando a lei suíça imperativa exija de outro modo.

Parte 8. Elementos específicos do Módulo Três

Quando o Cliente atua como Subcontratante de um Responsável pelo tratamento terceiro:

(a) o Cliente confirma que o Responsável pelo tratamento autorizou a contratação da Cal.com como subcontratante posterior e a transferência ao abrigo das SCCs, e que o Cliente transmitirá as instruções do Responsável pelo tratamento, incluindo instruções sobre pedidos dos titulares dos dados, eliminação e auditorias, através dos canais previstos no DPA;

(b) As notificações devem chegar aos destinatários exigidos por cada disposição aplicável das SCCs. O Cliente encaminhará as notificações quando as SCCs lhe atribuírem essa responsabilidade. Cal.com notificará diretamente o Responsável pelo tratamento quando as SCCs o exigirem, incluindo ao abrigo da Cláusula 8.6© quando adequado e viável. Qualquer acordo de notificação autorizado através do Cliente deve preservar os direitos do Responsável pelo tratamento e os prazos exigidos pelas SCCs.

© O Cliente indemniza a Cal.com por reclamações do Responsável pelo tratamento decorrentes da falta de autoridade do Cliente ou de instruções que a Cal.com receba através do Cliente (DPA §12.4(a)). Esta indemnização não limita as obrigações nem a responsabilidade da Cal.com ao abrigo das SCCs.